Che la caccia abbia inizio! Gli hacker sfruttano la falla Citrix per infiltrarsi nei sistemi globali

Redazione RHC : 30 Agosto 2025 20:25

E’ stata rilevata una falla critica zero-day nei sistemi Citrix NetScaler, catalogata come CVE-2025-6543, che è stata oggetto di sfruttamento attivo da parte degli hacker criminali da maggio 2025, parecchi mesi prima della messa a disposizione di una soluzione correttiva. Inizialmente Citrix aveva parlato di una semplice vulnerabilità di overflow di memoria in grado di causare un flusso di controllo anomalo e un Denial of Service, ma in seguito è emerso che la breccia di sicurezza in realtà permette l’esecuzione di codice remoto (RCE) senza necessità di autenticazione, con il risultato di una potenziale vasta compromissione di sistemi a livello mondiale.

Il bug monitorato come CVE-2025-6543 consente a un aggressore di sovrascrivere la memoria di sistema fornendo un certificato client dannoso all’endpoint /cgi/api/loginsu un dispositivo NetScaler vulnerabile. Inviando centinaia di queste richieste, un aggressore può sovrascrivere una quantità di memoria sufficiente per eseguire codice arbitrario sul sistema. Questo metodo gli fornisce un punto d’appoggio nella rete, che ha utilizzato per spostarsi lateralmente negli ambienti Active Directory , abusando delle credenziali rubate dell’account del servizio LDAP.

La società ha messo a disposizione uno script di verifica per rilevare le compromissioni, ma soltanto su richiesta specifica e in circostanze molto ristrette, senza tuttavia offrire una spiegazione approfondita circa la situazione o le limitazioni dello script stesso. Le prove suggeriscono che Citrix era a conoscenza della gravità e dello sfruttamento in corso, ma non ha rivelato la reale portata della minaccia ai propri clienti, ha affermato Kevin Beaumont .

Prompt Engineering & Sicurezza: diventa l’esperto che guida l’AI Vuoi dominare l’AI generativa e usarla in modo sicuro e professionale? Con il Corso Prompt Engineering: dalle basi alla cybersecurity, guidato da Luca Vinciguerra, data scientist ed esperto di sicurezza informatica, impari a creare prompt efficaci, ottimizzare i modelli linguistici e difenderti dai rischi legati all’intelligenza artificiale. Un percorso pratico e subito spendibile per distinguerti nel mondo del lavoro. Non restare indietro: investi oggi nelle tue competenze e porta il tuo profilo professionale a un nuovo livello. Guarda subito l'anteprima gratuita del corso su academy.redhotcyber.com Contattaci per ulteriori informazioni tramite WhatsApp al 375 593 1011 oppure scrivi a [email protected] Supporta RHC attraverso:   L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Le organizzazioni che hanno dispositivi Citrix NetScaler collegati a Internet sono invitate dagli esperti di sicurezza a prendere immediati provvedimenti. Se si ritiene che un sistema sia compromesso, i passaggi consigliati sono:

• Disattivare immediatamente il dispositivo NetScaler.
• Creare un’immagine del sistema per l’analisi forense.
• Modificare le credenziali dell’account del servizio LDAP per impedire spostamenti laterali.
• Distribuisci una nuova istanza di NetScaler con patch e credenziali aggiornate.

Gli Stati Uniti hanno incluso la CVE-2025-6543 nel catalogo delle vulnerabilità sfruttate note (KEV) tramite la Cybersecurity and Infrastructure Security Agency (CISA), evidenziando la necessità impellente per le organizzazioni di aggiornare con patch e monitorare possibili tracce di attività malevola.

Il Centro Nazionale Olandese per la Sicurezza Informatica (NCSC) ha svolto un ruolo fondamentale nello svelare la vera natura degli attacchi. La sua indagine ha confermato che la vulnerabilità è stata sfruttata come vulnerabilità zero-day e che gli aggressori hanno attivamente coperto le proprie tracce, rendendo difficile l’analisi forense. Il rapporto, pubblicato nell’agosto 2025, affermava che “diverse organizzazioni critiche nei Paesi Bassi sono state attaccate con successo” e che la vulnerabilità è stata sfruttata almeno dall’inizio di maggio.

A Giugno 2025 si è concluso il rilascio da parte di Citrix di una patch riguardante la CVE-2025-6543. Gli aggressori, tuttavia, avevano sfruttato la falla di sicurezza già da diverse settimane. La vulnerabilità è stata sfruttata per violare i sistemi di accesso remoto NetScaler, diffondere webshell in grado di assicurare un accesso persistente anche dopo l’applicazione delle patch, e portare via le credenziali.

Si ritiene che lo stesso sofisticato autore di minacce sia dietro lo sfruttamento di un altro zero-day, CVE-2025-5777, noto anche come CitrixBleed 2, utilizzato per rubare le sessioni utente. Sono in corso specifiche indagini per stabilire se questo attore sia responsabile anche dello sfruttamento di una vulnerabilità più recente, CVE-2025-7775.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli