Da metà settembre 2026 due vulnerabilita critiche in Citrix NetScaler ADC e NetScaler Gateway sono sotto sfruttamento attivo su scala globale, secondo quanto confermato sia da Citrix sia dalla statunitense CISA (Cybersecurity and Infrastructure Security Agency). Le due falle, identificate come CVE-2026-88771 e CVE-2026-88772, hanno entrambe un punteggio di gravita CVSS pari a 9,5 su 10 e permettono a un aggressore non autenticato di eseguire comandi arbitrari sul dispositivo, con la possibilita nel secondo caso di provocare anche un blocco del servizio (denial-of-service). NetScaler e la piattaforma di application delivery controller e gateway VPN piu diffusa nel mondo enterprise, utilizzata da banche, operatori sanitari, pubbliche amministrazioni e grandi aziende per gestire l'accesso remoto sicuro alle proprie reti: una sua compromissione equivale, di fatto, a un accesso privilegiato diretto al cuore della rete aziendale.
La CISA ha imposto alle agenzie federali statunitensi di applicare gli aggiornamenti correttivi entro il 30 settembre 2026, un termine estremamente ristretto che segnala il livello di urgenza percepito dalle autorita. Prima ancora della divulgazione pubblica, diversi fornitori IT e team di sicurezza avevano gia iniziato a contattare privatamente i propri clienti raccomandando di spegnere temporaneamente i dispositivi NetScaler esposti, in attesa di poter applicare la patch.
Le due vulnerabilita nel dettaglio
La prima, CVE-2026-88771, nasce da una validazione insufficiente dell'input e consente l'esecuzione di comandi arbitrari da parte di un aggressore che non necessita di alcuna credenziale valida: colpisce tutte le distribuzioni di NetScaler ADC e Gateway, anche quelle con configurazione di default, il che la rende particolarmente pericolosa perche non richiede al bersaglio di aver attivato funzionalita opzionali.
La seconda, CVE-2026-88772, e invece un problema di gestione impropria della memoria (memory overflow) che si manifesta quando e attivo il protocollo DTLS (Datagram Transport Layer Security). Il dettaglio tecnico non e secondario: DTLS e abilitato di default sui server virtuali VPN di NetScaler Gateway, quindi la maggior parte delle implementazioni utilizzate per l'accesso remoto risulta esposta a meno che l'amministratore non l'abbia disattivato esplicitamente in passato. Lo sfruttamento di questa falla puo portare sia a esecuzione di codice remoto sia, nella forma piu semplice, a un blocco del dispositivo.
Come sono state scoperte e chi le sta sfruttando
Citrix ha individuato le due vulnerabilita nel corso di indagini forensi su incidenti gia avvenuti presso ambienti di alcuni clienti, il che indica che lo sfruttamento nella pratica precedeva la disponibilita di una patch pubblica: si tratta cioe, a tutti gli effetti, di due vulnerabilita zero-day. Il bollettino di sicurezza ufficiale dell'azienda, identificato come CTX697096, conferma che "exploit di CVE-2026-88771 e CVE-2026-88772 su distribuzioni NetScaler non mitigate sono stati osservati". La societa di sicurezza offensiva watchTowr ha inoltre pubblicato un'analisi tecnica delle due falle il 26 settembre 2026, contribuendo a rendere pubblico il quadro completo della minaccia. Prima della divulgazione ufficiale, l'agenzia nazionale per la cybersicurezza dei Paesi Bassi (NCSC-NL) aveva gia inviato notifiche riservate ad alcuni fornitori e operatori locali, un segnale che gli attacchi erano stati osservati anche in ambito europeo. CISA non ha attribuito pubblicamente le attivita a un gruppo di minaccia specifico, limitandosi a confermare che "gli attori delle minacce stanno attivamente sfruttando queste vulnerabilita a livello globale".
Versioni corrette e cosa devono fare gli amministratori
Citrix ha rilasciato le versioni corrette per tutte le linee di prodotto interessate: NetScaler ADC e Gateway 14.1 dalla build 14.1-73.37, la linea 13.1 dalla build 13.1-64.23, oltre alle varianti certificate FIPS e NDcPP con numerazioni dedicate. La raccomandazione per tutti gli amministratori e di applicare l'aggiornamento nel piu breve tempo possibile; per chi non puo farlo immediatamente, Citrix consiglia quantomeno di ridurre l'esposizione diretta a Internet dei dispositivi non ancora aggiornati, ad esempio restringendo l'accesso alle sole reti fidate. Per i dispositivi su cui si sospetta una compromissione gia avvenuta, le indicazioni sono quelle standard in questi casi: isolare immediatamente l'apparato dalla rete, revocare tutte le credenziali e i certificati associati, ricostruire il firmware da un'immagine fidata e indagare su tutti i sistemi che erano connessi al dispositivo, poiche un accesso amministrativo completo a un gateway VPN puo aver permesso movimenti laterali verso altre risorse interne.
NetScaler, bersaglio ricorrente
Non e la prima volta che un prodotto NetScaler finisce al centro di una crisi di sicurezza di questa portata: nel 2025 una vulnerabilita zero-day in NetScaler era gia stata sfruttata attivamente contro organizzazioni nei Paesi Bassi, al punto che l'agenzia nazionale olandese per la cybersicurezza aveva dovuto pubblicare strumenti di verifica forense per permettere alle organizzazioni di controllare se fossero state compromesse anche dopo aver applicato la patch. Il ripetersi di episodi simili conferma un pattern ormai consolidato nel settore della sicurezza informatica: le appliance di accesso remoto perimetrale (VPN gateway, application delivery controller, firewall) restano tra i bersagli preferiti dagli attaccanti piu sofisticati proprio perche, una volta compromesse, offrono un punto di accesso privilegiato e spesso poco monitorato al cuore della rete interna.
Perche riguarda aziende, PA e professionisti IT anche in Italia
NetScaler e diffuso in Italia soprattutto tra le medie e grandi aziende, gli istituti finanziari e alcune amministrazioni pubbliche che lo utilizzano come gateway per l'accesso remoto sicuro dei dipendenti o come bilanciatore di carico per applicazioni critiche esposte su Internet. Per i responsabili IT, la vicenda ripropone un problema strutturale ben noto agli operatori di sicurezza: le appliance di questo tipo sono spesso gestite con cicli di aggiornamento piu lenti rispetto ai server applicativi, proprio perche un fermo o un malfunzionamento ha un impatto immediato sulla continuita operativa. E un compromesso che, quando emergono vulnerabilita critiche sfruttate attivamente come in questo caso, si trasforma in una finestra di esposizione particolarmente pericolosa. La vicenda richiama da vicino quanto gia osservato pochi giorni fa a proposito della falla critica nei router MikroTik trattata su queste pagine: a conferma di come i dispositivi di rete perimetrali, ampiamente diffusi, restino un bersaglio ricorrente e spesso sotto-presidiato dal punto di vista del patching.
Il commento di PINET
Per le aziende e le pubbliche amministrazioni italiane che si affidano a Citrix NetScaler come gateway di accesso remoto, la priorita nei prossimi giorni e verificare lo stato di aggiornamento dei propri dispositivi e, se il patching non e immediato, limitarne l'esposizione diretta a Internet: un principio di prudenza semplice ma spesso disatteso nelle strutture di medie dimensioni, dove il presidio di queste appliance e meno strutturato che nelle grandi organizzazioni. Il termine ravvicinato imposto da CISA alle agenzie federali statunitensi non ha alcun valore vincolante per i soggetti italiani, ma resta un indicatore utile della gravita reale della situazione, piu immediato del solo punteggio CVSS. La vicenda conferma inoltre un problema strutturale gia emerso piu volte quest'anno: i gateway VPN e i bilanciatori di carico restano tra gli apparati meno monitorati nelle infrastrutture aziendali, pur essendo spesso l'unico punto di accesso esposto pubblicamente a Internet. In assenza di dati ufficiali sul numero di dispositivi italiani coinvolti, non ci sono elementi per stimare con precisione la reale portata dell'esposizione nel nostro paese, ma la storia recente di NetScaler, con un precedente rilevante nel 2025, suggerisce che il rischio non va sottovalutato.
Fonte: CISA e BleepingComputer
