CISA ha confermato che due vulnerabilità critiche di Citrix NetScaler ADC e NetScaler Gateway sono già sfruttate attivamente su scala globale. Per un’azienda questo significa una cosa molto semplice: se usa NetScaler per pubblicare servizi, gestire accessi remoti o VPN, il rischio non è teorico e va trattato come un’urgenza operativa.
Le due falle possono consentire, in alcuni casi, esecuzione di comandi o codice da remoto senza autenticazione. In pratica, un apparato esposto su Internet può diventare la porta d’ingresso per compromettere sistemi interni, credenziali e servizi aziendali.
Cosa è successo
Il 28 settembre 2026 The Hacker News ha riportato che la CISA, l’agenzia statunitense per la cybersicurezza, ha inserito due vulnerabilità di Citrix NetScaler nel catalogo KEV, cioè l’elenco delle falle note per essere effettivamente sfruttate dagli attaccanti.
Le vulnerabilità segnalate sono:
- CVE-2026-88771 con punteggio CVSS 9.5
- CVE-2026-88772 con punteggio CVSS 9.5
Secondo le informazioni riportate, la prima è una vulnerabilità di validazione impropria dell’input che può permettere a un attaccante non autenticato di eseguire comandi arbitrari. La seconda è una vulnerabilità legata ai limiti di un buffer in memoria e può portare a esecuzione di codice da remoto oppure a un denial-of-service.
L’elemento più importante, per chi gestisce l’infrastruttura IT, è che gli attacchi sono già in corso. CISA ha dichiarato di aver ricevuto segnalazioni e intelligence dai partner che confermano lo sfruttamento attivo a livello globale.
Quali sistemi sono coinvolti
La notizia riguarda Citrix NetScaler ADC e Citrix NetScaler Gateway, prodotti molto diffusi per il bilanciamento del traffico, la pubblicazione sicura delle applicazioni e l’accesso remoto tramite VPN.
La differenza tra le due falle è rilevante:
- CVE-2026-88771 interessa, secondo la fonte, tutte le distribuzioni NetScaler ADC e NetScaler Gateway.
- CVE-2026-88772 richiede che sia abilitata la configurazione DTLS su NetScaler ADC o Gateway. La fonte precisa anche che questa opzione è attiva per impostazione predefinita sui server virtuali VPN.
Questo dettaglio conta molto. In molte aziende NetScaler è esposto direttamente su Internet proprio per consentire accessi remoti, lavoro fuori sede, collegamenti di partner o filiali. Quando una falla colpisce un componente perimetrale di questo tipo, il rischio è più alto perché l’apparato è raggiungibile dall’esterno ed è spesso collegato a sistemi interni sensibili.
Perché la situazione è particolarmente delicata
Non tutte le vulnerabilità richiedono lo stesso livello di attenzione. In questo caso ci sono almeno tre fattori che rendono la situazione critica.
Il primo è la gravità tecnica: entrambe le falle hanno punteggio CVSS 9.5.
Il secondo è la semplicità potenziale dell’attacco: almeno una delle due può essere sfruttata da un attaccante senza autenticazione.
Il terzo, il più importante per il business, è che non stiamo parlando di un rischio futuro, ma di exploit già osservati nel mondo reale. Quando CISA inserisce una vulnerabilità nel catalogo KEV, il messaggio per le organizzazioni è chiaro: la priorità deve salire immediatamente.
Va poi considerato un aspetto pratico: CISA stessa sottolinea che l’aggiornamento degli appliance Citrix NetScaler può essere complesso e può richiedere fermo o finestra di manutenzione. Questo significa che molte aziende potrebbero essere tentate di rimandare. È proprio il tipo di ritardo che gli attaccanti sfruttano.
Le versioni corrette indicate
Secondo le informazioni riportate, Citrix ha già corretto i problemi nelle seguenti versioni:
- Citrix NetScaler ADC e Citrix NetScaler Gateway 14.1-73.37 e successive
- Citrix NetScaler ADC e Citrix NetScaler Gateway 13.1-64.23 e successive della linea 13.1
- Citrix NetScaler ADC 14.1-FIPS 14.1-73.37 FIPS e successive della linea 14.1-FIPS
- Citrix NetScaler ADC 13.1-FIPS e 13.1-NDcPP 13.1.37.279 e successive delle linee indicate
Per le agenzie federali civili statunitensi, CISA ha fissato il termine del 30 settembre 2026 per applicare le correzioni. Anche se questa scadenza non riguarda direttamente le imprese italiane, è un segnale chiaro dell’urgenza attribuita al problema.
Cosa fare se sospetti una compromissione
La fonte riporta anche le azioni consigliate da Citrix in caso di sospetto incidente. Vale la pena leggerle con attenzione, perché mostrano un punto chiave spesso sottovalutato: aggiornare non basta se il sistema è già stato violato.
Le raccomandazioni includono:
- conservare le prove dell’istanza NetScaler coinvolta;
- isolare il dispositivo;
- revocare credenziali e accessi;
- verificare tutti i server e i sistemi collegati a NetScaler per individuare eventuali compromissioni successive;
- ricostruire il sistema e aggiornare il firmware all’ultima versione;
- ruotare tutte le password degli account locali, le Key Encryption Keys (KEK) e sostituire i certificati SSL ripristinati da backup noto come buono;
- rafforzare la configurazione del dispositivo secondo le buone pratiche.
Questo elenco è importante perché suggerisce che, in uno scenario di attacco riuscito, l’impatto può estendersi oltre l’appliance stessa. Un gateway compromesso può essere stato usato per muoversi verso altri sistemi, intercettare accessi o alterare configurazioni.
Cosa significa per la tua azienda
Se nella tua organizzazione è presente Citrix NetScaler, la priorità non è “capire se la notizia è grave”, ma sapere entro oggi se sei esposto.
Ecco le azioni pratiche da mettere in agenda subito:
-
Verifica se usi NetScaler ADC o Gateway Non dare per scontato che il tema riguardi solo il team IT. In molte aziende gli appliance di accesso remoto sono gestiti da fornitori esterni o installati anni fa. Serve un inventario chiaro degli apparati esposti su Internet.
-
Controlla versione e configurazione Va verificato se il sistema rientra nelle release corrette indicate sopra. In parallelo è utile capire se la componente DTLS è attiva, soprattutto sugli ambienti VPN.
-
Pianifica l’aggiornamento con urgenza Se l’appliance è vulnerabile, la correzione deve essere trattata come change prioritario. Se l’update richiede fermo, meglio una finestra di manutenzione pianificata oggi che un fermo imprevisto domani per incidente di sicurezza.
-
Cerca indicatori di compromissione La fonte segnala che Citrix ha reso disponibili indicatori generici di compromissione tramite NetScaler Console. Non limitarti a patchare: verifica i log, gli accessi anomali, le modifiche inattese e l’eventuale attività laterale sui sistemi collegati.
-
Ruota credenziali e segreti se c’è il minimo sospetto Se l’appliance gestisce autenticazione, certificati o accessi privilegiati, bisogna considerare il rischio di esposizione delle credenziali. In uno scenario di dubbio, la rotazione deve essere parte della risposta.
-
Rivedi backup e ripristino In caso di compromissione reale, può essere necessario ricostruire il sistema. Avere un piano di ripristino verificato e copie sicure dei dati fa la differenza. Se vuoi rafforzare questa area, una soluzione di remote backup ben gestita riduce tempi e incertezze.
-
Rafforza il presidio degli apparati perimetrali NetScaler rientra tra quei sistemi che richiedono monitoraggio, aggiornamenti regolari e verifiche periodiche. Per molte PMI il problema non è la tecnologia, ma la continuità operativa della gestione. Un servizio strutturato di sicurezza informatica o di contratto di assistenza informatica può aiutare a evitare che dispositivi critici restino indietro.
In sintesi: se NetScaler è il “portone” con cui utenti e collaboratori entrano nei sistemi aziendali, queste vulnerabilità vanno trattate come un rischio diretto per continuità operativa, riservatezza dei dati e reputazione.
La lezione più ampia: gli apparati esposti vanno gestiti come asset critici
Questa vicenda conferma un problema ricorrente nelle aziende: firewall, gateway VPN, bilanciatori e appliance di pubblicazione applicativa sono spesso considerati infrastruttura “stabile”, quindi meno bisognosa di attenzione quotidiana rispetto a PC e server.
In realtà succede il contrario. Proprio perché sono esposti su Internet e perché controllano accessi e traffico, questi apparati sono bersagli privilegiati. Quando emerge una vulnerabilità critica, gli attaccanti si muovono rapidamente e cercano sistemi non aggiornati nel minor tempo possibile.
Per una PMI la misura più efficace non è inseguire ogni allarme con affanno, ma avere un processo chiaro:
- inventario degli asset esposti;
- responsabilità definite su chi aggiorna cosa;
- finestre di manutenzione realistiche;
- monitoraggio dei log e delle anomalie;
- piano di risposta in caso di compromissione.
È un approccio meno appariscente di tante tecnologie “nuove”, ma spesso è quello che evita gli incidenti più costosi.
Domande frequenti
Se uso Citrix NetScaler devo considerarmi già compromesso?
No, ma devi considerarti potenzialmente esposto finché non verifichi versione, configurazione e log. La presenza di exploit attivi impone controlli immediati.
Basta installare la patch per risolvere?
Non sempre. Se l’apparato è già stato violato, oltre all’aggiornamento servono analisi, isolamento, rotazione delle credenziali e possibili attività di ricostruzione.
Questa notizia riguarda anche una piccola o media impresa?
Sì. Se l’azienda usa NetScaler per VPN, accesso remoto o pubblicazione di applicazioni, la dimensione conta poco: l’esposizione su Internet rende il bersaglio interessante anche per attacchi opportunistici.