Segui Citrix ha pubblicato aggiornamenti di sicurezza d’emergenza per due vulnerabilità critiche zero-day che interessano NetScaler ADC e NetScaler Gateway dopo aver confermato che gli attaccanti stanno già sfruttando entrambe le falle in attacchi nel mondo reale. Tracciate come CVE-2026-88771 e CVE-2026-88772, le vulnerabilità hanno ciascuna un punteggio CVSS v4.0 di 9,5 e possono consentire l’esecuzione di codice remoto non autenticato su dispositivi vulnerabili.
Le vulnerabilità sono particolarmente pericolose perché i dispositivi NetScaler si trovano comunemente ai margini delle reti aziendali, fornendo consegna delle applicazioni, accesso VPN, autenticazione e connettività remota. La compromissione riuscita può quindi offrire agli attaccanti un punto d’appoggio strategicamente prezioso tra gli utenti esterni e l’infrastruttura interna.
CVE-2026-88771 è causato da una convalida impropria dell’input e può consentire a un attaccante non autenticato di eseguire comandi arbitrari da remoto. Non è richiesto alcun elemento facoltativo o configurazione speciale: le installazioni di NetScaler ADC e Gateway vulnerabili sono esposte anche nella loro configurazione predefinita.
CVE-2026-88772 è una vulnerabilità di overflow della memoria che può portare all’esecuzione di codice remoto o al denial of service. Lo sfruttamento richiede che DTLS sia abilitato, ma Citrix nota che DTLS è abilitato di default sui server virtuali VPN, rendendo molte implementazioni NetScaler Gateway potenzialmente esposte senza che gli amministratori abbiano esplicitamente attivato la funzionalità.
La CISA ha aggiunto entrambe le vulnerabilità al suo catalogo di Vulnerabilità Sfruttate Conosciute il 27 settembre 2026, citando report e intelligence dei partner che confermano lo sfruttamento globale. Le agenzie del Federal Civilian Executive Branch avevano tempo fino al 30 settembre per applicare le correzioni di Citrix.
Analisi di CVE-2026-88771 e CVE-2026-88772
Le due zero-day offrono diversi percorsi tecnici per la compromissione ma portano a risultati altrettanto gravi.
Analisi di CVE-2026-88771 si concentra su una debolezza di convalida dell’input impropria classificata come CWE-20. Citrix afferma che un attaccante di rete non autenticato può sfruttare la falla per eseguire comandi arbitrari su un dispositivo NetScaler vulnerabile.
La vulnerabilità non richiede nessuna modalità di installazione speciale. CVE-2026-88771 colpisce tutte le installazioni vulnerabili di NetScaler ADC e NetScaler Gateway, inclusi i sistemi con configurazione predefinita.
Il suo vettore CVSS 4.0 è:
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
La vulnerabilità è raggiungibile da remoto, non richiede privilegi dell’attaccante o interazione della vittima e può avere un impatto elevato su confidenzialità, integrità e disponibilità.
CVE-2026-88772 prende una strada diversa. La vulnerabilità è classificata come CWE-119, Restrizione Impropria delle Operazioni all’interno dei Limiti di un Buffer di Memoria. La corruzione della memoria innescata attraverso il percorso DTLS vulnerabile può causare sia l’esecuzione di codice remoto che il denial of service.
I dettagli chiave per CVE-2026-88772 sono correlati alla configurazione. La condizione vulnerabile esiste quando DTLS è abilitato su NetScaler ADC o Gateway. Citrix avverte specificamente che DTLS è abilitato di default sui server virtuali VPN.
Ad esempio, una configurazione come:
add vpn vserver vpn1 SSL 10.0.0.0 443 -Listenpolicy NONE
non disabilita esplicitamente DTLS, il che significa che il server virtuale VPN rimane esposto.
Una configurazione contenente:
-dtls OFF
non soddisfa il prerequisito documentato per questa particolare vulnerabilità.
Altri server virtuali configurati direttamente con il tipo DTLS possono anche esporre la funzionalità vulnerabile.
CVE-2026-88772 ha il seguente vettore CVSS 4.0:
CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
Sebbene Citrix valuti la complessità dell’attacco più alta di CVE-2026-88771, lo sfruttamento riuscito può ancora fornire RCE non autenticato e potenzialmente la completa compromissione del dispositivo interessato.
Entrambe le vulnerabilità colpiscono le seguenti versioni supportate di NetScaler prima delle loro rispettive build corrette:
- NetScaler ADC e NetScaler Gateway 14.1 prima di 14.1-73.37
- NetScaler ADC e NetScaler Gateway 13.1 prima di 13.1-64.23
- NetScaler ADC FIPS 14.1 prima di 14.1-73.37 FIPS
- NetScaler ADC FIPS e NDcPP 13.1 prima di 13.1-37.279
Le implementazioni ibride di Accesso Privato Sicuro che utilizzano istanze NetScaler interessate richiedono anche aggiornamenti.
I servizi cloud gestiti da Citrix e l’Autenticazione Adattativa gestita da Citrix sono gestiti dal Cloud Software Group, che applica gli aggiornamenti software necessari a quei servizi gestiti.
La divulgazione è seguita a insoliti avvertimenti nel fine settimana precedente. Prima che Citrix pubblicasse gli identificatori CVE e le patch, ricercatori di sicurezza e risponditori agli incidenti avevano segnalato prove di più vulnerabilità RCE di NetScaler precedentemente non divulgate sfruttate contro dispositivi esposti a internet. Alcune organizzazioni erano state avvisate di isolare o spegnere temporaneamente i sistemi vulnerabili in attesa della correzione ufficiale.
Citrix ha pubblicato CTX697096 il 27 settembre, confermando che lo sfruttamento di entrambe le vulnerabilità era stato osservato su installazioni non protette.
Le date esatte della scoperta privata non sono state pubblicamente divulgate, e Citrix non ha identificato gli autori delle minacce responsabili degli attacchi né ha fornito una data di inizio definitiva per la campagna di sfruttamento.
Gli attacchi sono significativi perché i dispositivi di frontiera forniscono un allettante punto d’appoggio iniziale. L’esecuzione di comandi o codice su un sistema NetScaler potrebbe potenzialmente consentire agli attaccanti di distribuire payload persistenti, accedere a materiali di autenticazione, ispezionare il traffico, rubare credenziali, alterare configurazioni o spostarsi verso sistemi raggiungibili dal dispositivo.
Queste sono conseguenze potenziali della compromissione del dispositivo. Citrix non ha documentato pubblicamente la completa catena post-sfruttamento utilizzata in ogni attacco osservato.
Al momento, non esiste un PoC completamente armato pubblicamente verificato per CVE-2026-88771 citato nell’avviso di Citrix o nei due report richiesti. Questo non riduce il rischio immediato: Citrix e CISA hanno già confermato che gli attaccanti possiedono capacità di sfruttamento funzionanti.
Citrix ha reso disponibili capacità generiche di rilevamento delle compromissioni attraverso il flusso di lavoro dell’Advisory di Sicurezza della Console NetScaler. La funzione richiede telemetria ed è disponibile tramite il servizio Console oltre che supportata nelle installazioni Console on-premises usando Cloud Connect.
Non esiste un set pubblico comprensivo di specifici IOC per CVE-2026-88772 come indirizzi IP, hash di malware, domini o stringhe di comando nel materiale sorgente. Le organizzazioni dovrebbero quindi evitare di trattare l’assenza di una corrispondenza IOC conosciuta come prova che un dispositivo sia pulito.
Citrix avverte specificamente che i suoi controlli disponibili non possono coprire ogni tecnica dell’attaccante e possono fallire nell’identificare ogni compromissione. I registri esterni e le prove forensi sono quindi importanti.
Mitigazione di CVE-2026-88771 e CVE-2026-88772
Citrix raccomanda fortemente di aggiornare immediatamente ogni appliance NetScaler ADC e Gateway interessato.
Le build correttive sono:
- NetScaler ADC / Gateway 14.1-73.37 o successivo
- NetScaler ADC / Gateway 13.1-64.23 o successivo
- NetScaler ADC 14.1-FIPS 14.1-73.37 FIPS o successivo
- NetScaler ADC 13.1-FIPS / NDcPP 13.1-37.279 o successivo
Gli amministratori che eseguono la versione 13.1 dovrebbero anche rivedere l’ultima guida di aggiornamento di Citrix. Citrix nota che alcune implementazioni che utilizzano variabili di NetScaler possono incontrare un problema di reboot-loop durante l’aggiornamento a 13.1-64.23 e consiglia di pianificare la versione 13.1-64.24 dove applicabile.
Per CVE-2026-88771 non c’è alcun prerequisito di configurazione che gli amministratori possano semplicemente disabilitare. La vulnerabilità colpisce le configurazioni predefinite, quindi ridurre l’esposizione non sostituisce l’installazione dell’aggiornamento del fornitore.
La principale mitigazione per CVE-2026-88772 è anche l’aggiornamento a una build corretta. Gli amministratori possono inoltre determinare se la condizione DTLS vulnerabile esiste e, dove operativamente appropriato, disabilitare esplicitamente DTLS sui server virtuali VPN finché la patch non è completa. Questo dovrebbe essere considerato solo come riduzione dell’esposizione per quella CVE, non come sostituto dell’aggiornamento del dispositivo.
Poiché lo sfruttamento è già avvenuto, i difensori dovrebbero affrontare la correzione sia come esercizio di patching che di risposta agli incidenti.
Il rilevamento di CVE-2026-88771 dovrebbe iniziare con l’identificazione di ogni appliance NetScaler ADC e Gateway gestita dal cliente, determinando la sua esatta build in esecuzione e stabilendo se era accessibile da internet prima della risoluzione.
Per la seconda vulnerabilità, i team di sicurezza dovrebbero ispezionare la configurazione in esecuzione di server virtuali VPN o altri con DTLS abilitato.
To Rilevare CVE-2026-88772 esploatation o attività sospette relative a una delle due zero-day, i difensori dovrebbero indagare su:
- Comandi o processi imprevisti sui dispositivi NetScaler
- File creati o modificati di recente senza una spiegazione amministrativa legittima
- Modifiche di configurazione inspiegabili
- Nuove impostazioni di autenticazione o modificate
- Connessioni in uscita anomale dal dispositivo
- Connessioni inaspettate da NetScaler verso server interni
- Crash dell’apparecchio o riavvii inspiegabili
- Timestamp che mostrano modifiche non autorizzate durante periodi di accesso esterno sospetto
- Nuovi meccanismi di persistenza o file accessibili tramite web
- Attività di autenticazione insolita associata all’apparecchio
- Differenze tra i registri del dispositivo locale e la telemetria di rete o SIEM memorizzata esternamente
Questi comportamenti sono piste di indagine piuttosto che firme uniche per le vulnerabilità.
Le organizzazioni dovrebbero eseguire la scansione IOC disponibile di Citrix tramite la Console NetScaler ma non dovrebbero fermarsi lì. Citrix avverte che una scansione pulita non può dimostrare in modo conclusivo che lo sfruttamento non si sia verificato.
L’inoltro dei registri del dispositivo a un SIEM esterno è particolarmente prezioso. Un attaccante con esecuzione di codice su un dispositivo di frontiera potrebbe essere in grado di modificare o rimuovere prove locali, mentre i registri di firewall, autenticazione, DNS, NetFlow, proxy e SIEM memorizzati esternamente rimangono fuori dal sistema compromesso.
La CISA ha anche sottolineato la triage forense come parte della sua guida alla correzione per le due vulnerabilità.
Se si sospetta una compromissione, le azioni di risposta raccomandate includono:
- Preservare le prove dell’istanza NetScaler interessata
- Isolare il dispositivo
- Revocare le credenziali e l’accesso interessati
- Indagare i sistemi con cui il dispositivo ha comunicato
- Ricostruire il dispositivo compromesso
- Aggiornare a un firmware corretto
- Ruotare le password degli account locali
- Ruotare le Chiavi di Crittografia Key dove appropriato
- Sostituire i certificati SSL ripristinati se si ricostruisce da un backup noto affidabile
- Rinforzare il dispositivo ricostruito secondo le linee guida di sicurezza di Citrix
La patch di un dispositivo precedentemente compromesso non rimuove la persistenza, le web shell, le credenziali rubate o altri artefatti dell’attaccante che possono già esistere.
Le organizzazioni dovrebbero quindi trattare qualsiasi dispositivo Internet-exposed vulnerabile che è stato esposto durante il periodo di sfruttamento noto come richiedente un’indagine retrospettiva.
FAQ
Cosa sono CVE-2026-88771 e CVE-2026-88772 e come funzionano?
CVE-2026-88771 è una vulnerabilità di convalida dell’input impropria in NetScaler ADC e Gateway che consente a un attaccante remoto non autenticato di eseguire comandi arbitrari. CVE-2026-88772 è un overflow di memoria che interessa le installazioni con DTLS abilitato e può causare l’esecuzione di codice remoto o il denial of service. DTLS è abilitato di default sui server virtuali VPN NetScaler.
Quando sono stati scoperti per la prima volta CVE-2026-88771 e CVE-2026-88772?
Citrix non ha divulgato pubblicamente le date esatte della scoperta originale. Le segnalazioni di zero-day NetScaler RCE sfruttate sono emerse immediatamente prima dell’avviso del fornitore, e Citrix ha divulgato formalmente entrambe le vulnerabilità il 27 settembre 2026 nel bollettino CTX697096. La CISA le ha aggiunte il giorno stesso al catalogo KEV.
Qual è l’impatto di CVE-2026-88771 e CVE-2026-88772 sui sistemi?
Entrambe le vulnerabilità possono consentire l’esecuzione di codice remoto non autenticato su dispositivi NetScaler interessati. CVE-2026-88772 può inoltre causare denial of service. La compromissione riuscita di un gateway di frontiera può esporre configurazioni sensibili, materiale di autenticazione e sistemi connessi e può fornire agli attaccanti un punto d’appoggio per ulteriori intrusioni.
CVE-2026-88771 e CVE-2026-88772 possono ancora influenzarmi nel 2026?
Sì. I sistemi NetScaler ADC e Gateway che eseguono versioni precedenti a 14.1-73.37 o 13.1-64.23 rimangono vulnerabili, insieme alle corrispondenti build FIPS e NDcPP colpite. Entrambe le vulnerabilità sono già sfruttate a livello globale e sono elencate nel catalogo di Vulnerabilità Sfruttate Conosciute di CISA.
Come posso proteggermi da CVE-2026-88771 e CVE-2026-88772?
Aggiorna immediatamente alla versione NetScaler corretta. Verifica l’esposizione DTLS, esegui i controlli di compromissione di Citrix, preserva i registri e le prove forensi, e indaga sui dispositivi che sono stati esposti prima dell’aggiornamento. Se si sospetta una compromissione, isola e ricostruisci il dispositivo, ruota le credenziali e il materiale di crittografia e indaga sui sistemi che erano raggiungibili dal dispositivo NetScaler compromesso.
