CISA ha inserito nel catalogo delle vulnerabilità sfruttate attivamente due falle critiche di Citrix NetScaler ADC e Gateway, identificate come CVE-2026-88771 e CVE-2026-88772. L’agenzia statunitense riferisce di attacchi in corso su scala globale e invita le organizzazioni esposte a dare priorità all’aggiornamento.
Entrambe hanno un punteggio CVSS di 9,5. La prima può consentire a un aggressore non autenticato di eseguire comandi arbitrari; la seconda può portare all’esecuzione di codice da remoto o a una condizione di denial-of-service, ma richiede che DTLS sia abilitato.
Quali prodotti e versioni sono coinvolti
CVE-2026-88771 riguarda tutte le distribuzioni di NetScaler ADC e NetScaler Gateway indicate dalla fonte. Per CVE-2026-88772, invece, deve essere attiva la configurazione DTLS: secondo il resoconto, l’opzione è abilitata per impostazione predefinita sui server virtuali VPN.
Citrix ha corretto le due vulnerabilità nelle release 14.1-73.37 e successive per NetScaler ADC e NetScaler Gateway, oltre che nelle release 13.1-64.23 e successive del ramo 13.1. Per NetScaler ADC 14.1-FIPS occorre la release 14.1-73.37 FIPS o successiva; per NetScaler ADC 13.1-FIPS e 13.1-NDcPP è indicata la release 13.1.37.279 o successiva.
Il punto centrale non è soltanto la gravità teorica delle falle: CISA afferma di aver ricevuto segnalazioni e intelligence dai partner che confermano lo sfruttamento attivo da parte di attori della minaccia. Per gli apparati esposti, il rinvio della manutenzione aumenta quindi il rischio da valutare.
Le indicazioni in caso di possibile compromissione
Citrix ha reso disponibili indicatori di compromissione generici attraverso NetScaler Console, utili ai clienti per cercare segnali di attività anomala nelle proprie installazioni. In presenza di sospetti, le indicazioni riportate comprendono la conservazione delle evidenze dell’istanza NetScaler ADC VPX e l’isolamento del dispositivo.
La procedura indicata prosegue con la revoca delle credenziali e degli accessi, la verifica dei server e dei sistemi connessi all’appliance e la ricostruzione del dispositivo con firmware aggiornato. Se si ripristina da un backup NetScaler noto come affidabile, Citrix raccomanda anche la rotazione delle password degli account locali e delle Key Encryption Keys, oltre alla sostituzione dei certificati SSL ripristinati.
Per le agenzie federali civili dell’esecutivo statunitense, CISA ha fissato al 30 settembre 2026 il termine per applicare le correzioni. La scadenza riguarda quel perimetro, ma segnala l’urgenza attribuita dall’agenzia al problema.
FAQ
Quali sono le vulnerabilità segnalate da CISA?
Sono CVE-2026-88771 e CVE-2026-88772, entrambe con punteggio CVSS di 9,5. La prima può permettere l’esecuzione di comandi arbitrari senza autenticazione; la seconda può consentire esecuzione di codice da remoto o denial-of-service nelle configurazioni con DTLS abilitato.
Quali sistemi NetScaler devono essere aggiornati?
La fonte indica NetScaler ADC e NetScaler Gateway nei rami interessati 14.1 e 13.1, nonché specifiche varianti FIPS e NDcPP. Per 14.1-FIPS è prevista la release 14.1-73.37 FIPS o successiva, mentre per 13.1-FIPS e 13.1-NDcPP serve la 13.1.37.279 o successiva.
Cosa fare se si sospetta un attacco?
Le indicazioni riportate prevedono di preservare le evidenze, isolare l’apparato, revocare credenziali e accessi, indagare i sistemi collegati e ricostruire l’appliance con firmware aggiornato. NetScaler Console mette inoltre a disposizione indicatori di compromissione generici.
Considerazioni finali
La presenza nel catalogo KEV e la conferma di sfruttamenti attivi rendono questa una priorità operativa, non il consueto avviso tecnico da archiviare. Due falle con impatto potenziale su appliance che possono gestire accessi e VPN richiedono una verifica puntuale delle versioni installate e della configurazione DTLS.
Conta anche la risposta successiva all’aggiornamento: Citrix indica misure precise per preservare prove, isolare gli apparati e ruotare le credenziali quando emerge un sospetto di compromissione. Il dato decisivo resta l’attività di sfruttamento globale segnalata da CISA.