Due zero-day su NetScaler: le versioni corrette e cosa devono fare gli amministratori

Al 28 settembre, il quadro iniziale delle due vulnerabilità NetScaler ancora senza patch è superato. Citrix ha confermato lo sfruttamento di CVE-2026-88771 e CVE-2026-88772 e ha rilasciato gli aggiornamenti di sicurezza il 27 settembre. Gli amministratori dovrebbero installare la versione corretta per la propria appliance, conservare le evidenze disponibili e verificare eventuali segnali di compromissione risalenti al periodo precedente all’aggiornamento. 33350

Quali versioni di NetScaler sono corrette

Per le installazioni standard di NetScaler ADC e NetScaler Gateway, Citrix indica come corrette le versioni 14.1-73.37 o successive e 13.1-64.23 o successive. Le edizioni FIPS e NDcPP hanno requisiti specifici: il bollettino riporta 14.1-73.37 FIPS o successive e 13.1.37.279 o successive per le edizioni 13.1-FIPS e 13.1-NDcPP. Verificate il requisito applicabile alla vostra edizione, senza presumere che il numero della versione standard sia valido per tutte. 3

Per chi utilizza NetScaler 13.1, il punto chiave è il nuovo livello minimo corretto: 13.1-64.23 o successivo. Una versione che aveva risolto una vulnerabilità NetScaler precedente potrebbe non includere queste correzioni. 34

Non confondere queste falle con CVE-2026-19490

CVE-2026-19490 è un problema distinto: Citrix lo descrive come un’elusione dell’autenticazione tramite un percorso alternativo, che richiede specifiche configurazioni Gateway o di un server virtuale AAA. Le versioni correttive indicate per quel problema includono 14.1-73.32 e 13.1-63.21, inferiori ai livelli richiesti per le due nuove vulnerabilità RCE. Aver aggiornato un’appliance per CVE-2026-19490, quindi, non significa che sia protetta da CVE-2026-88771 e CVE-2026-88772. 420

Le informazioni disponibili descrivono CVE-2026-88771 come una vulnerabilità di validazione impropria dell’input che può consentire a un attaccante non autenticato di eseguire comandi. Entrambe le falle sono indicate come vulnerabilità di esecuzione di codice da remoto (RCE), ma le fonti qui disponibili non offrono dettagli sufficienti per confrontarne in modo affidabile i meccanismi di sfruttamento. 335054

Fermare l’appliance o lasciarla esposta?

Mettere fuori servizio un’appliance NetScaler può interrompere l’accesso remoto o le applicazioni che distribuisce. D’altra parte, mantenere esposta un’appliance vulnerabile mentre si rimanda un aggiornamento già disponibile comporta un rischio concreto: Citrix ha confermato che entrambe le falle sono state sfruttate su installazioni non corrette. La priorità è applicare la versione giusta; se non è possibile farlo rapidamente, valutate di limitare l’accesso dall’esterno o di sospendere il servizio, tenendo conto delle conseguenze operative. 350

La cautela è particolarmente importante per chi usa la versione 13.1: la correzione precedente per CVE-2026-19490 non è sufficiente per queste vulnerabilità RCE. Verificate versione e edizione esatte dell’appliance confrontandole con il bollettino Citrix aggiornato. 320

Conservare le evidenze e verificare cosa è successo prima della patch

L’aggiornamento corregge le vulnerabilità, ma non dimostra che l’appliance non sia stata raggiunta in precedenza. Se le esigenze operative lo consentono, prima di riavviare o aggiornare conservate i log, la configurazione e le altre evidenze forensi disponibili, che potrebbero cambiare durante queste operazioni. Verificate poi eventuali accessi o modifiche sospette nel periodo precedente alla patch e coinvolgete specialisti di risposta agli incidenti se sospettate una compromissione. Anche watchTowr raccomanda di preservare le evidenze, controllare l’eventuale compromissione e quindi aggiornare alle versioni corrette. 33

Citrix ha confermato che le vulnerabilità sono state sfruttate, ma le informazioni disponibili non chiariscono quante organizzazioni siano state colpite, chi sia responsabile degli attacchi o quando sia iniziato lo sfruttamento. Considerate questi aspetti ancora da accertare: lo stato aggiornato della patch, da solo, non prova che il sistema sia pulito né definisce l’eventuale impatto. 49