NetScaler: falla critica aggira l’autenticazione

Citrix ha rilasciato il 20 agosto 2026 aggiornamenti di sicurezza per due vulnerabilità che colpiscono NetScaler ADC e NetScaler Gateway, una delle quali può consentire l’aggiramento dell’autenticazione in alcune configurazioni. Per un’azienda questo significa una cosa molto concreta: se NetScaler protegge accessi remoti, VPN o servizi applicativi, l’esposizione può riguardare direttamente il perimetro di ingresso alla rete.

La buona notizia è che, al momento della comunicazione, non risultavano prove di sfruttamento attivo. La cattiva è che le vulnerabilità Citrix attirano spesso attaccanti in tempi rapidi, quindi chi gestisce appliance esposte su Internet dovrebbe verificare subito versione, ruolo del sistema e configurazioni interessate.

Cosa ha corretto Citrix

L’avviso riguarda implementazioni customer-managed di NetScaler ADC e NetScaler Gateway, comprese alcune build FIPS e NDcPP, oltre ai deployment SecurAccess ZTNA Hybrid che usano istanze NetScaler gestite dal cliente. Non sono invece coinvolti i servizi cloud gestiti direttamente da Citrix né Citrix-managed Adaptive Authentication, per i quali gli aggiornamenti risultano già applicati.

Le due vulnerabilità segnalate sono:

• CVE-2026-19489 – punteggio CVSS 8.8: vulnerabilità di memory overflow che può causare comportamento imprevedibile o denial of service. Si applica solo se è attivo SIP ALG su una configurazione Large Scale NAT (LSN) group.
• CVE-2026-19490 – punteggio CVSS 9.3: vulnerabilità di authentication bypass, quindi la più critica, che interessa appliance configurate come Gateway oppure come AAA virtual server in specifiche condizioni.

In pratica, la seconda è quella che merita la priorità massima nelle aziende che usano NetScaler per accesso remoto sicuro, pubblicazione di servizi o federazione delle identità.

Quali versioni sono interessate

Secondo Citrix, le versioni coinvolte sono:

• NetScaler ADC e NetScaler Gateway 14.1 prima della 14.1-73.32
• NetScaler ADC e NetScaler Gateway 13.1 prima della 13.1-63.21
• NetScaler ADC FIPS prima della 14.1-73.32 FIPS
• NetScaler ADC FIPS e NDcPP prima della 13.1-37.277

Le versioni corrette, quindi, sono:

• 14.1-73.32 o successive
• 13.1-63.21 o successive
• 14.1-73.32 FIPS o successive
• 13.1-37.277 o successive per FIPS e NDcPP

Questo punto è importante: non basta sapere di avere NetScaler in azienda. Occorre sapere quale ramo software è installato e se il dispositivo è usato come semplice bilanciatore, come gateway VPN, come proxy ICA/CVPN/RDP o come server AAA.

Perché la falla di autenticazione è così delicata

La vulnerabilità CVE-2026-19490 non colpisce ogni installazione allo stesso modo. Citrix ha chiarito che l’impatto dipende dal ruolo del dispositivo e, in alcuni casi, dalla presenza di configurazioni SAML.

I casi da considerare sono questi:

• sulle versioni 14.1-43.56 o successive, la falla si applica se è configurata una SAML action e NetScaler è usato come Gateway o AAA vserver;
• sulle versioni 14.1-66.68-FIPS o successive, valgono le stesse condizioni;
• sulle versioni 14.1-43.55 o precedenti, la vulnerabilità si applica quando NetScaler è configurato come Gateway o AAA vserver;
• sulle versioni 13.1-61.28 o successive, si applica solo se è presente una SAML action;
• sulle versioni 13.1-61.27 o precedenti, si applica quando il sistema è configurato come Gateway o AAA vserver;
• sulle 13.1 FIPS, si applica quando il sistema è configurato come Gateway o AAA vserver.

Detto in modo semplice: se l’appliance è usata per l’accesso remoto degli utenti, per la VPN SSL, per ICA Proxy, CVPN, RDP Proxy o per servizi AAA, la verifica va trattata come urgente. Se in più è presente integrazione SAML, bisogna controllare con ancora maggiore attenzione il caso specifico.

Come capire rapidamente se siete esposti

Citrix ha indicato anche alcuni elementi pratici per verificare se la propria configurazione soddisfa le precondizioni delle due falle.

Per CVE-2026-19489, la verifica riguarda la presenza nella configurazione della stringa:

• add lsn group.*sipalg.*

Per CVE-2026-19490, i riferimenti da controllare sono:

• add authentication samlAction.*
• add authentication vserver .*
• add vpn vserver .*

Naturalmente questa non sostituisce una valutazione tecnica completa, ma consente a chi amministra l’infrastruttura di capire in tempi brevi se l’istanza rientra nello scenario di rischio descritto dal produttore.

Citrix ha anche indicato una misura di mitigazione aggiuntiva per chi usa NetScaler Console in versione service o on-prem e dispone di firmware superiore a 14.1-60.52 oppure 13.1-63.16: in questi casi è disponibile la funzione Global Deny Lists, che usa firme di protezione e le applica automaticamente alle appliance gestite tramite NetScaler Console. La funzione, secondo il vendor, è abilitata di default. È una misura utile, ma non sostituisce l’aggiornamento del firmware.

Un dettaglio da non sottovalutare: il fattore tempo

Nell’avviso non risultano prove di sfruttamento in the wild al momento della pubblicazione. Tuttavia il precedente più vicino invita alla prudenza: il mese scorso una vulnerabilità di validazione insufficiente in NetScaler ADC e NetScaler Gateway, identificata come CVE-2026-8451 con CVSS 8.8, è stata oggetto di tentativi di sfruttamento attivo in meno di 24 ore dalla disclosure pubblica.

Per chi decide le priorità IT, il messaggio è chiaro: le vulnerabilità sui sistemi di accesso remoto e sui componenti esposti su Internet non vanno inserite nel backlog “quando c’è tempo”. Sono da trattare come attività operative immediate, soprattutto se l’appliance protegge l’accesso di dipendenti, consulenti o sedi esterne.

Cosa significa per la tua azienda

Per una PMI italiana, o per uno studio professionale con accessi da remoto, questa notizia conta anche se non ha un reparto sicurezza interno. NetScaler è spesso collocato in un punto strategico: davanti ai servizi pubblicati, davanti alla VPN o davanti ai meccanismi di autenticazione. Una falla in quell’area può incidere su continuità operativa, riservatezza dei dati e conformità.

Ecco le azioni pratiche da fare subito:

1. Verifica se hai davvero NetScaler esposto Non dare per scontato di saperlo. In molte aziende il dispositivo è gestito da un fornitore esterno o fa parte di un progetto passato. Serve un inventario aggiornato degli apparati e dei servizi pubblicati.

2. Controlla versione e ruolo dell’appliance Sapere di essere su 13.1 o 14.1 non basta. Bisogna capire se il dispositivo è usato come Gateway, AAA vserver, proxy o bilanciatore puro.

3. Individua eventuali configurazioni SAML e VPN La presenza di SAML può cambiare il livello di esposizione. È un controllo tecnico semplice ma decisivo.

4. Applica gli aggiornamenti supportati da Citrix Se rientri nelle versioni vulnerabili, la correzione prioritaria è il passaggio a una release aggiornata indicata dal vendor.

5. Riduci la superficie esposta durante la finestra di intervento Se non puoi aggiornare immediatamente, valuta temporaneamente limitazioni di accesso, monitoraggio più stretto e, dove disponibile, le mitigazioni tramite NetScaler Console.

6. Controlla log e accessi anomali Anche in assenza di conferme di exploit pubblici, è prudente esaminare autenticazioni, accessi remoti e comportamenti insoliti nelle ore o nei giorni successivi alla disclosure.

7. Allinea sicurezza e continuità operativa Un aggiornamento su un gateway critico va pianificato con backup, finestra di manutenzione e piano di rollback. Qui contano metodo e test, non improvvisazione.

Se la tua infrastruttura di accesso remoto non è sotto controllo, può essere utile affiancare all’intervento una revisione più ampia della sicurezza informatica e delle procedure di protezione dei dati, inclusi backup affidabili come il remote backup. Se il sistema gestisce accessi a dati personali, l’impatto organizzativo va valutato anche sul piano del GDPR.

Domande frequenti

Se uso i servizi cloud gestiti da Citrix devo intervenire?

No, secondo il vendor il problema non riguarda i servizi cloud gestiti direttamente da Citrix né Citrix-managed Adaptive Authentication, perché gli aggiornamenti risultano già applicati.

La vulnerabilità permette sempre di entrare senza credenziali?

No. La falla più grave dipende da configurazione, versione e ruolo dell’appliance. In molti casi contano l’uso come Gateway o AAA server e, per alcune release, la presenza di una configurazione SAML.

Se non vedo segnali di attacco posso aspettare?

Non è consigliabile. Le vulnerabilità Citrix esposte su Internet tendono a essere analizzate rapidamente dagli attaccanti. Se l’appliance è coinvolta, aggiornare presto è la scelta più prudente.