CISA segnala falle sfruttate in Citrix NetScaler, invita ad applicare le patch
L'Agenzia per la sicurezza informatica e delle infrastrutture degli Stati Uniti (CISA) ha lanciato l'allarme per due vulnerabilità critiche in Citrix NetScaler ADC e NetScaler Gateway che gli aggressori stanno sfruttando attivamente in tutto il mondo. L'agenzia ha aggiunto le falle, identificate come CVE-2026-88771 e CVE-2026-88772, al suo catalogo delle vulnerabilità note sfruttate (KEV) il 29 settembre 2026, dopo aver ricevuto informazioni sulle minacce e segnalazioni dai partner che confermavano attacchi in corso.
Entrambe le falle di sicurezza presentano il più alto indice di gravità possibile, 9,5, secondo il Common Vulnerability Scoring System (CVSS). CVE-2026-88771 deriva da una convalida dell'input inadeguata e può consentire a un utente non autenticato di eseguire comandi arbitrari sul dispositivo interessato. La seconda vulnerabilità, CVE-2026-88772, è un difetto di restrizione dei limiti del buffer di memoria che può portare all'esecuzione di codice remoto o a un attacco di negazione del servizio. Mentre la prima falla interessa tutte le installazioni di NetScaler ADC e NetScaler Gateway, la seconda è sfruttabile solo quando il protocollo Datagram Transport Layer Security (DTLS) è attivo. È fondamentale notare che DTLS è abilitato per impostazione predefinita sui server virtuali VPN, il che significa che un gran numero di implementazioni sono vulnerabili a meno che gli amministratori non lo abbiano disattivato intenzionalmente.
Citrix ha rilasciato aggiornamenti software per risolvere entrambi i problemi. Le versioni corrette includono NetScaler ADC e NetScaler Gateway 14.1-73.37 e successive, la versione 13.1-64.23 e successive del ramo 13.1, NetScaler ADC 14.1-FIPS nella release 14.1-73.37 FIPS e successive, e NetScaler ADC 13.1-FIPS più 13.1-NDcPP nella versione 13.1.37.279 e aggiornamenti successivi. Riconoscendo che l'applicazione di aggiornamenti firmware agli appliance di rete può comportare complessità e tempi di inattività programmati, la CISA ha pubblicato l'allerta per aiutare le organizzazioni a valutare la propria esposizione e a dare priorità alle azioni di mitigazione.
Ricercatori indipendenti di watchTowr Labs hanno rapidamente analizzato CVE-2026-88771 e confermato che la vulnerabilità ha origine in uno script Perl denominato "ns_monuploadd_err.pl". Questo script gestisce i rapporti sugli arresti anomali e sugli errori sull'appliance NetScaler. Costruisce un comando shell utilizzando input provenienti dai dati scritti nei file di registro dell'appliance. Un aggressore può inviare una richiesta HTTP POST appositamente predisposta all'endpoint "/nf/auth/doAuthentication.do" – una pagina di pre-autenticazione – dove il campo di login contiene un payload che costringe lo script a eseguire comandi di sistema. Poiché i dati iniettati finiscono in una voce di registro successivamente elaborata dallo script Perl vulnerabile, i comandi dell'aggressore vengono eseguiti con privilegi di root, garantendo il pieno controllo del dispositivo. I ricercatori lo hanno dimostrato inviando una richiesta che scriveva un file innocuo in /var/tmp, confermando l'esecuzione di codice. Questo facile sfruttamento significa che il semplice fatto di lasciare un NetScaler non patchato esposto a Internet può portare a una compromissione totale senza alcuna credenziale preventiva.
Alla luce dello sfruttamento globale attivo, la CISA ha fissato per le agenzie civili federali statunitensi la scadenza del 30 settembre 2026 per applicare le correzioni. L'agenzia ha inoltre indicato indicatori di compromissione generici (IoC) che Citrix ha distribuito attraverso la console NetScaler per aiutare gli amministratori a verificare se i propri appliance siano già stati compromessi. Se si sospetta una compromissione, la risposta raccomandata include conservare le prove forensi, isolare l'appliance interessato dalla rete, revocare tutte le credenziali e i diritti di accesso associati, indagare su eventuali sistemi connessi per individuare segni di movimento laterale, ricostruire e aggiornare il firmware all'ultima versione, ruotare tutte le password degli account locali e le chiavi di crittografia, sostituire eventuali certificati SSL ripristinati e rafforzare il dispositivo secondo le linee guida di sicurezza di Citrix.
Per gli operatori di siti web e le aziende che dipendono da Citrix NetScaler per il bilanciamento del carico o l'accesso remoto sicuro, il messaggio è chiaro: verificare immediatamente la versione installata e applicare la patch. Non farlo espone non solo l'appliance stesso, ma anche le applicazioni web, i dati sensibili e le reti interne che si trovano dietro di esso. Le organizzazioni che si affidano a provider di hosting gestito possono scaricare parte di questo rischio. AEU Hosting, ad esempio, protegge ambienti WordPress gestiti end-to-end, garantendo che i componenti dell'infrastruttura sottostante siano costantemente monitorati e patchati da esperti, il che può evitare ai proprietari dei siti di dover inseguire personalmente le vulnerabilità a livello di appliance.