Vulnerabilità NetScaler corretta nelle configurazioni SAML

La vulnerabilità NetScaler CVE-2026-107406 è stata corretta da Citrix dopo che l’azienda ha avvertito che le installazioni interessate di NetScaler ADC e NetScaler Gateway potrebbero essere esposte a esecuzione di codice da remoto o denial-of-service in specifiche configurazioni SAML.

Citrix descrive CVE-2026-107406 come una vulnerabilità di overflow della memoria. In parole semplici, un overflow della memoria si verifica quando un software gestisce i dati in un modo che può oltrepassare lo spazio che dovrebbe utilizzare, cosa che a volte può consentire a un aggressore di mandare in crash il servizio o eseguire codice. La falla ha un punteggio CVSS di 9,5 su 10,0, collocandosi nella fascia critica. Citrix afferma che non vi sono prove che questo problema sia stato sfruttato attivamente.

Il rischio è legato a SAML, o Security Assertion Markup Language, una comune tecnologia di single sign-on che consente agli utenti di accedere tramite un sistema di identità anziché con una password separata per ogni servizio. Citrix afferma che lo sfruttamento dipende dal fatto che NetScaler sia configurato come provider di identità SAML, chiamato anche IdP, oppure come provider di servizi SAML, chiamato anche SP. Un IdP è il sistema che conferma chi è un utente, mentre un SP è l’applicazione o il servizio che si basa su tale conferma.

Gli amministratori possono verificare se la loro installazione NetScaler corrisponde alla configurazione interessata cercando voci di configurazione relative a SAML. Citrix indica add authentication samlAction come indicatore della configurazione SAML SP e add authentication samlIdPProfile come indicatore della configurazione SAML IdP. Per i proprietari di siti web e le aziende, il punto pratico è che non si tratta di un problema generale dei computer desktop. Colpisce l’infrastruttura usata per gestire accesso, distribuzione delle applicazioni e funzioni di gateway, che spesso si trova davanti ai sistemi aziendali e ai servizi web.

Gli intervalli di versioni interessate dipendono da come è configurata l’istanza NetScaler. Quando è configurata come SAML IdP, le versioni interessate includono NetScaler ADC e NetScaler Gateway dalla 14.1-73.37 alla 14.1-73.41 inclusa, NetScaler ADC 14.1-FIPS dalla 14.1-73.37 FIPS alla 14.1-73.41 FIPS inclusa, NetScaler ADC e NetScaler Gateway dalla 13.1-64.23 alla 13.1-64.28 inclusa, e NetScaler ADC 13.1-FIPS dalla 13.1-NDcPP 13.1-37.279 alla 13.1- 37.282 inclusa.

Citrix elenca inoltre intervalli interessati più ampi quando NetScaler è configurato come SAML SP o come SAML IdP. Questi includono NetScaler ADC e NetScaler Gateway precedenti alla 14.1-73.37, NetScaler ADC 14.1-FIPS precedente alla 14.1-73.37 FIPS, NetScaler ADC e NetScaler Gateway precedenti alla 13.1-64.23 e NetScaler ADC 13.1-FIPS precedente alla 13.1-NDcPP 13.1-37.279. Citrix avverte inoltre che le installazioni Secure Private Access Hybrid che utilizzano istanze NetScaler sono interessate e devono essere aggiornate alle versioni NetScaler consigliate.

Le versioni corrette sono Citrix NetScaler ADC e Citrix NetScaler Gateway 14.1-73.46 e release successive, Citrix NetScaler ADC e Citrix NetScaler Gateway 13.1-64.29 e release successive della 13.1, Citrix NetScaler ADC 14.1-FIPS 14.1-73.46 FIPS e release successive della 14.1-FIPS, e Citrix NetScaler ADC 13.1-FIPS e 13.1-NDcPP 13.1.37.283 e release successive della 13.1-FIPS e 13.1-NDcPP.

Per i team IT, il compito immediato è identificare se NetScaler è presente, se SAML è abilitato in uno dei ruoli interessati e se la versione installata rientra negli intervalli vulnerabili. Poiché i possibili effetti includono l’esecuzione di codice da remoto, cioè la possibilità per un aggressore di eseguire comandi su un sistema vulnerabile, e il denial-of-service, cioè la possibilità che il servizio venga reso non disponibile, questo aggiornamento dovrebbe essere trattato come prioritario per qualsiasi installazione che corrisponda alle condizioni indicate da Citrix.

Citrix ha attribuito al JPMorgan Chase XOR Team e a un altro segnalatore la scoperta e la segnalazione della falla. L’azienda osserva inoltre che altre tre falle di NetScaler ADC e NetScaler Gateway, CVE 2026-88771, CVE 2026-88772 e CVE 2026-88779, sono state sfruttate attivamente. Citrix non afferma che CVE-2026-107406 sia in fase di sfruttamento.

Per le organizzazioni che stanno esaminando l’infrastruttura esposta, AEU-I fornisce servizi IT, infrastrutturali e di consulenza orientati innanzitutto alla sicurezza, rilevanti per il tipo di configurazione dei dispositivi e di pianificazione degli aggiornamenti richiesto da questo problema.

I proprietari di siti web che si affidano a un fornitore IT o a un partner di hosting dovrebbero chiedere se NetScaler ADC o NetScaler Gateway viene usato in qualche punto davanti ai loro siti, sistemi di accesso o applicazioni aziendali. In caso affermativo, il passaggio successivo importante non è solo sapere se esiste una patch, ma se è presente la configurazione SAML interessata e se l’installazione è stata aggiornata a una delle release corrette.