Hai già aggiornato NetScaler? Tutto da rifare! Spunta un nuovo zero-day

Citrix ha rivelato il nuovo CVE-2026-88779, un grave zero-day in NetScaler ADC e Gateway con CVSS 4.0 di 8,7, già sfruttato in attacchi mirati. Il bug può provocare denial of service anche su sistemi aggiornati a settembre. Citrix raccomanda di installare subito le nuove build e verificare eventuali compromissioni pregresse.

Gli amministratori di NetScaler, che hanno appena chiuso due zero-day critici, hanno un nuovo motivo per aggiornare con urgenza. Citrix ha rivelato il nuovo CVE-2026-88779, già osservato in attacchi mirati. Tra le vittime ci sono anche sistemi considerati completamente protetti dopo l’aggiornamento di emergenza di settembre.

Il nuovo errore è legato a un overflow della memoria che ha ricevuto un punteggio di 8,7 sulla scala CVSS 4.0. L’attacco è possibile se NetScaler ADC o NetScaler Gateway funzionano come SAML SP o SAML IdP. Lo sfruttamento riuscito causa un denial of service, e ripetuti attacchi possono lasciare il servizio inaccessibile per lungo tempo. Citrix non ha rilevato segni di danni o manipolazione dei dati dei clienti.

La situazione è resa più preoccupante dalla rapidità degli eventi. Solo una settimana fa Citrix ha chiuso il CVE-2026-88771 e CVE-2026-88772, già utilizzate per l’esecuzione remota di codice. Le build 14.1-73.37 e 13.1-64.23, rilasciate per quella ondata, non proteggono da questa nuova minaccia.

Ora Citrix richiede di passare almeno alla versione 14.1-73.41 o 13.1-64.28, mentre per FIPS e NDcPP sono necessarie le nuove build corrispondenti.

Per alcune sistemi già aggiornati è disponibile una protezione temporanea tramite Global Deny List, ma l’azienda consiglia comunque di installare le versioni corrette il prima possibile.

La correzione del nuovo errore arresta il denial of service, ma non rimuove le tracce di vecchi hack attraverso vulnerabilità RCE adiacenti. Alla fine di settembre, gli esperti avevano già trovato su NetScaler compromessi strumenti WHIPSHOT e SLAPSHOT, che mantenevano l’accesso alla rete aziendale dopo la penetrazione iniziale.

“Citrix ha rilevato attacchi mirati alle implementazioni NetScaler non protette, che possono causare un denial-of-service“, ha ammesso l’azienda. “Se la condizione si verifica ripetutamente, il servizio potrebbe rimanere non disponibile. La nostra analisi indica che questo problema influisce sulla disponibilità del servizio e non abbiamo riscontrato alcun impatto sull’integrità dei dati dei clienti.”

Le patch arrivano dopo che Citrix ha dichiarato di star monitorando un nuovo problema riscontrato di recente, relativo all’autenticazione SAML nelle implementazioni NetScaler gestite dai clienti, e che tale problema è legato alle implementazioni che utilizzano l’autenticazione SAML in combinazione con le funzionalità Gateway o AAA.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response