NetScaler sotto attacco: due CVE critiche e come blindare il gateway dopo la patch

Se gestite un gateway Citrix NetScaler ADC o NetScaler Gateway esposto su Internet e non avete ancora applicato la patch di fine settembre, il problema non è teorico: due vulnerabilità critiche sono già sfruttate in rete prima ancora che Citrix pubblicasse una correzione.

Il bollettino Citrix CTX697096 del 27 settembre 2026 ha corretto otto falle. Le due più gravi:

CVE	Descrizione	CVSS v4.0	Precondizione
CVE-2026-88771	Esecuzione comandi non autenticata per input validation errata	9,5 Critico	Nessuna, configurazione di default
CVE-2026-88772	Memory overflow con RCE o DoS	9,5 Critico	DTLS attivo (default sul vServer VPN)

Gli exploit di CVE-2026-88771 e CVE-2026-88772 su installazioni NetScaler non ancora corrette sono stati osservati, e Cloud Software Group ha invitato i clienti di NetScaler ADC e NetScaler Gateway a installare al più presto le versioni aggiornate. Secondo ricerche di settore, l'exploitation va da inizio settembre fino all'alert rivisto di CISA del 9 ottobre. Un vettore documentato passa per richieste POST malevole verso l'endpoint /nf/auth/doAuthentication.do, iniettando comandi shell attraverso il parametro login.

CISA ha aggiunto entrambe le CVE al proprio catalogo KEV il 27 settembre, fissando una scadenza di rimedio al 30 settembre 2026 per le agenzie federali coperte dai suoi obblighi, con l'invito a verificare eventuali compromissioni e preservare le prove forensi prima di aggiornare dove possibile. Ulteriori bollettini Citrix del 3 e dell'8 ottobre hanno coperto altre falle legate a configurazioni SAML.

Cosa fare oltre alla patch

Cloudflare ha pubblicato una regola WAF d'emergenza il 1° ottobre per chi non può aggiornare immediatamente, ma il punto del post è un altro: una pagina di login pubblica resta un bersaglio anche dopo la patch. Le misure proposte si basano su tre livelli che si possono replicare con qualunque stack: un controllo di accesso (SSO/Zero Trust) davanti al gateway, ispezione WAF sulle richieste, e blocco delle connessioni dirette all'origine tramite tunnel in uscita o restrizioni di IP e mutual TLS, così che l'aggressore veda solo la pagina di login del proxy e mai il server Citrix reale.

Per chi ha un'istanza NetScaler esposta: verificare subito la versione installata, applicare l'aggiornamento a 14.1-73.37 o 13.1-64.24, ed eseguire il triage di compromissione prima e dopo l'update, come indicato nel bollettino CTX697096.