A giugno Citrix ha corretto diverse vulnerabilità in NetScaler ADC e Gateway, gli apparati che molte aziende usano per l’accesso remoto e il bilanciamento del traffico. Una in particolare somiglia così tanto alla falla che nel 2023 aveva colpito migliaia di organizzazioni che i ricercatori l’hanno subito chiamata Citrix Bleed 2.
La CVE-2025-5777, corretta il 17 giugno, nasce da un controllo insufficiente dei dati in ingresso. Permette a un attaccante senza credenziali di leggere porzioni di memoria del dispositivo, dove possono trovarsi i token di sessione degli utenti collegati. Con quelli si entra senza password e senza autenticazione a più fattori, esattamente come nel 2023, quando gli affiliati di LockBit avevano usato la prima Citrix Bleed contro Boeing e decine di altre aziende. Sono coinvolti i dispositivi configurati come Gateway, cioè VPN, ICA Proxy, CVPN o RDP Proxy, o come server virtuale di autenticazione.
Citrix dice di non avere prove di sfruttamento. Alcuni ricercatori, però, segnalano attività compatibili con attacchi, come sessioni riutilizzate da indirizzi IP diversi. Per ora nessuno è in grado di dire chi abbia ragione.
Il 25 giugno è arrivata una seconda correzione, per la CVE-2025-6543: un problema di memoria negli stessi prodotti e nelle stesse configurazioni, che può bloccare il servizio. Qui l’azienda conferma che la falla è già sfruttata contro dispositivi non aggiornati.
Aggiornare e poi chiudere le sessioni
Le versioni corrette per entrambe le falle sono la 14.1-47.46 e la 13.1-59.19 o successive; per le edizioni FIPS e NDcPP la 13.1-37.236. La 12.1 e la 13.0 sono a fine supporto e non riceveranno correzioni: vanno sostituite.
Aggiorna subito tutti i dispositivi esposti. Poi ricorda la lezione del 2023, che molti avevano imparato a caro prezzo: i token rubati prima dell’aggiornamento restano validi finché la sessione non scade. Chiudi quindi tutte le sessioni attive, come raccomanda Citrix, con kill icaconnection -all e kill pcoipConnection -all.
Controlla nei log le sessioni usate da più indirizzi IP o da posizioni insolite. E se hai ancora apparati a fine supporto, questa è la seconda volta in due anni che la stessa classe di falla te lo ricorda.
