Segui Cloud Software Group ha rilasciato aggiornamenti di sicurezza per una vulnerabilità critica di aggiramento dell’autenticazione che interessa i dispositivi NetScaler ADC e NetScaler Gateway. Tracciata come CVE-2026-19490 e valutata con 9.3 sulla scala CVSS v4.0, la falla può permettere a un attaccante remoto non autenticato di aggirare i controlli di autenticazione sui sistemi vulnerabili configurati come gateway o server virtuali AAA.
La grave vulnerabilità di aggiramento dell’autenticazione Citrix NetScaler è particolarmente preoccupante perché i dispositivi NetScaler Gateway operano frequentemente al perimetro delle reti aziendali, fornendo funzionalità di SSL VPN e altri accessi remoti. Lo sfruttamento riuscito potrebbe fornire a un attaccante l’accesso a servizi protetti senza richiedere credenziali legittime o interazione dell’utente.
CVE-2026-19490 ha un vettore CVSS che indica l’attacco tramite rete, una complessità di attacco bassa, nessun privilegio e nessuna interazione dell’utente, con un potenziale impatto elevato su riservatezza, integrità e disponibilità. Queste caratteristiche rendono gli apparati vulnerabili esposti a Internet un bersaglio attraente non appena i metodi di sfruttamento affidabili diventano pubblicamente disponibili.
La vulnerabilità è stata divulgata insieme a CVE-2026-19489, un problema di overflow di memoria valutato 8.8 che può causare comportamenti imprevedibili o denial of service quando SIP ALG è abilitato in una configurazione NAT su larga scala. Tuttavia, CVE-2026-19490 rappresenta il rischio di sicurezza più grave poiché prende di mira il perimetro dell’autenticazione stesso.
Analisi di CVE-2026-19490
La vulnerabilità è classificata come CWE-288: Bypass dell’autenticazione mediante un percorso alternativo. Invece di compromettere una password, rubare un token o sfruttare credenziali deboli, un attaccante può raggiungere un percorso di autenticazione alternativo che non applica i controlli attesi dalla configurazione NetScaler interessata.
Le condizioni esatte di esposizione dipendono dal ramo del software NetScaler e dalla build. Per le build vulnerabili più recenti, lo sfruttamento richiede che sia configurata un’azione SAML. Le build più vecchie hanno una superficie di attacco più ampia perché operare semplicemente l’apparato come un Gateway o un server virtuale AAA può soddisfare il prerequisito della vulnerabilità.
In particolare, le configurazioni interessate includono:
- NetScaler 14.1-43.56 e build vulnerabili successive: sfruttabile quando è configurata un’azione SAML.
- NetScaler 14.1-43.55 e build vulnerabili precedenti: è sufficiente la configurazione di un Gateway o di un server virtuale AAA.
- NetScaler 13.1-61.28 e build vulnerabili successive: sfruttabile quando è configurata un’azione SAML.
- NetScaler 13.1-61.27 e build vulnerabili precedenti: è sufficiente la configurazione di un Gateway o di un server virtuale AAA.
- Implementazioni 13.1 FIPS: interessate quando configurate come Gateway o server virtuale AAA.
Le configurazioni del Gateway che possono esporre il percorso vulnerabile includono SSL VPN, ICA Proxy, Clientless VPN/CVPN e RDP Proxy. Anche i server virtuali AAA sono interessati nelle condizioni specificate per ciascun ramo del software.
CVE-2026-19490 interessa le versioni supportate di NetScaler ADC e NetScaler Gateway prima delle build patchate dal fornitore, tra cui:
- NetScaler ADC e NetScaler Gateway 14.1 prima di 14.1-73.32
- NetScaler ADC e NetScaler Gateway 13.1 prima di 13.1-63.21
- Le corrispondenti versioni vulnerabili FIPS e NDcPP.
Anche i deployment di Secure Private Access Hybrid che si basano su istanze NetScaler gestite dal cliente sono esposti e richiedono il relativo aggiornamento software. Cloud Software Group ha già aggiornato i propri servizi cloud gestiti e le offerte di Adaptive Authentication.
I dettagli più importanti per CVE-2026-19490 riguardano la posizione che questi sistemi occupano all’interno delle infrastrutture aziendali. NetScaler Gateway è comunemente distribuito come strato di autenticazione e accesso remoto tra utenti esterni e applicazioni interne. Aggirare quel perimetro di sicurezza può quindi fornire a un attaccante accesso non autorizzato a servizi che le organizzazioni tengono intenzionalmente dietro ai controlli di autenticazione.
A differenza delle vulnerabilità che richiedono un account autenticato, lo sfruttamento riuscito non dipenderebbe inizialmente dal furto delle credenziali dei dipendenti. Il vettore CVSS specifica nessun privilegio e nessuna interazione dell’utente, rendendo gli apparati esposti potenzialmente raggiungibili direttamente tramite la rete quando è presente la configurazione richiesta.
Ciò che accade dopo che l’autenticazione è stata aggirata dipende dalle applicazioni e dalle risorse disponibili tramite il gateway interessato. Un avversario potrebbe potenzialmente accedere a servizi aziendali protetti, raccogliere informazioni disponibili agli utenti remoti o utilizzare il punto d’appoggio non autorizzato come parte di un’intrusione più ampia nell’ambiente interno. La valutazione della gravità da parte del fornitore riflette un impatto potenzialmente elevato su riservatezza, integrità e disponibilità.
Gli amministratori possono determinare se i loro sistemi soddisfano i prerequisiti di vulnerabilità ispezionando le configurazioni NetScaler per azioni SAML, nonché i server virtuali di autenticazione e VPN. Gli elementi di configurazione rilevanti includono voci samlAction, authentication vserver e vpn vserver.
La vulnerabilità è stata divulgata responsabilmente da Samarth Vashisht del team di penetration-testing di JPMorgan Chase. Le date esatte della scoperta privata e del rapporto non sono state dettagliate pubblicamente nelle divulgazioni citate.
Al 20 agosto 2026, la divulgazione del fornitore e i due rapporti citati non identificavano un PoC CVE-2026-19490 rilasciato pubblicamente né confermavano uno sfruttamento attivo in natura. Tuttavia, la combinazione di accesso remoto non autenticato, bassa complessità di attacco e distribuzione diffusa di NetScaler ai bordi della rete aziendale rende importante una rapida correzione prima che circolino tecniche di sfruttamento dettagliate.
Non ci sono nemmeno IOC specifici di campagna per CVE-2026-19490 pubblicati nelle divulgazioni citate. I difensori dovrebbero quindi concentrarsi sulla configurazione degli apparati, la telemetria dell’autenticazione, comportamenti anomali di accesso remoto, e prove di sessioni non autorizzate piuttosto che aspettare IP, domini o hash di file di natura malevola già noti.
Mitigazione CVE-2026-19490
Cloud Software Group raccomanda fortemente di aggiornare immediatamente gli apparati NetScaler gestiti dai clienti interessati. I principali rami fissi sono:
- NetScaler ADC e NetScaler Gateway 14.1-73.32 o successive
- NetScaler ADC e NetScaler Gateway 13.1-63.21 o successive
- Le corrispondenti build patchate FIPS e NDcPP build.
Le organizzazioni che operano Secure Private Access Hybrid con istanze NetScaler gestite dal cliente devono aggiornare anche quegli apparati. Gli ambienti cloud gestiti da Citrix hanno già ricevuto la necessaria soluzione.
L’individuazione di CVE-2026-19490 dovrebbe iniziare con un inventario completo dei sistemi NetScaler ADC e Gateway accessibili dall’esterno. I team di sicurezza dovrebbero registrare le versioni del software e identificare quali dispositivi ospitano server virtuali Gateway o AAA e quali hanno configurazioni SAML.
Gli amministratori possono quindi dare priorità ai sistemi rivolti verso Internet che soddisfano contemporaneamente le versioni vulnerabili e i prerequisiti di configurazione. Gli apparati utilizzati per SSL VPN, ICA Proxy, CVPN, RDP Proxy o autenticazione centralizzata meritano particolare attenzione poiché mediano direttamente l’accesso alle risorse interne.
Per rilevare tentativi di sfruttamento di CVE-2026-19490 o comportamenti sospetti post-autenticazione, i difensori dovrebbero esaminare la telemetria di NetScaler, AAA, VPN, SAML e delle applicazioni a valle per attività come:
- Sessioni riuscite senza il corrispondente evento di autenticazione previsto
- Accesso a risorse protette senza una normale sequenza di login
- Richieste o flussi di autenticazione inconsueti legati a SAML
- Sessioni stabilite per identità inesistenti o inaspettate
- Aumenti improvvisi di richieste non autenticate contro i server virtuali Gateway o AAA
- Nuove sessioni remote provenienti da località geografiche insolite o indirizzi IP mai visti prima
- Accesso ad applicazioni interne incoerente con la storia apparente di autenticazione
- Modifiche di configurazione inattese in seguito a sospette attività di accesso remoto
Poiché la richiesta esatta di sfruttamento non è stata documentata pubblicamente, questi comportamenti dovrebbero essere trattati come spunti di indagine piuttosto che conferme uniche che la vulnerabilità è stata sfruttata.
I team di sicurezza dovrebbero anche conservare i registri storici di autenticazione e accesso NetScaler prima di aggiornare, dove possibile. La patch previene futuri sfruttamenti ma non può determinare se un dispositivo è stato accesso prima della correzione.
Se vengono identificate sessioni sospette, i rispondenti agli incidenti dovrebbero indagare sulle risorse raggiunte tramite il Gateway interessato, esaminare i log delle applicazioni a valle, ispezionare l’attività di autenticazione e SAML, terminare le sessioni sospette e ruotare le credenziali o i token potenzialmente esposti se appropriato.
La mitigazione di CVE-2026-19490 dovrebbe includere anche il passaggio delle installazioni NetScaler non supportate a rami software supportati. I dispositivi che non ricevono più aggiornamenti di sicurezza standard creano un’ulteriore incertezza poiché le organizzazioni non possono contare su correzioni future per vulnerabilità di autenticazione e sicurezza della memoria scoperte di recente.
Dato la severità critica e il ruolo rivolto alla rete degli apparati interessati, le organizzazioni dovrebbero trattare questo aggiornamento come un aggiornamento urgente della sicurezza del perimetro piuttosto che attendere il loro normale ciclo di manutenzione. Entrambi i rapporti citati avvertono che la storia di NetScaler come obiettivo di scansione e sfruttamento aumenta la probabilità che i sistemi vulnerabili attirino attenzione man mano che diventano disponibili ulteriori informazioni tecniche.
FAQ
Che cos’è CVE-2026-19490 e come funziona?
CVE-2026-19490 è una vulnerabilità critica di bypass dell’autenticazione in NetScaler ADC e NetScaler Gateway. È classificata come CWE-288 e consente a un attaccante remoto non autenticato di aggirare l’autenticazione tramite un percorso alternativo quando un apparato interessato soddisfa specifici prerequisiti di configurazione Gateway, AAA o SAML.
Quando è stato scoperto per la prima volta CVE-2026-19490?
La data esatta della scoperta privata non è stata divulgata pubblicamente. Cloud Software Group accredita Samarth Vashisht del team di penetration-testing di JPMorgan Chase per aver riportato responsabilmente la vulnerabilità. La relazione pubblica che descrive il problema e le sue correzioni è emersa il 19 agosto 2026.
Qual è l’impatto di CVE-2026-19490 sui sistemi?
Lo sfruttamento riuscito può consentire a un attaccante non autenticato di bypassare i controlli di accesso su dispositivi NetScaler vulnerabili e ottenere l’accesso non autorizzato a servizi protetti. Poiché NetScaler Gateway protegge comunemente l’accesso aziendale a VPN e applicazioni, la vulnerabilità potrebbe fornire un punto d’ingresso a risorse interne sensibili.
CVE-2026-19490 può ancora influenzarmi nel 2026?
Sì. I dispositivi NetScaler ADC e Gateway gestiti dai clienti rimangono vulnerabili se eseguono build interessate e soddisfano le condizioni di configurazione richieste. I sistemi supportati 14.1 dovrebbero essere aggiornati a 14.1-73.32 o successivi, mentre i sistemi supportati 13.1 dovrebbero passare a 13.1-63.21 o successivi.
Come posso proteggermi da CVE-2026-19490?
Aggiornare immediatamente i dispositivi NetScaler interessati alle versioni corrette dal fornitore. Gli amministratori dovrebbero anche identificare configurazioni Gateway, AAA e SAML, esaminare i log di autenticazione e VPN per sessioni sospette e investigare ogni accesso a risorse protette che non possa essere abbinato a un evento di autenticazione legittimo.
