Il 27 settembre Citrix ha pubblicato un bollettino che corregge otto vulnerabilità in NetScaler ADC e NetScaler Gateway. Due erano già sfruttate prima che esistesse una patch. Il giorno prima erano circolati avvisi su attacchi in corso, e alcune organizzazioni avevano spento gli apparati su consiglio delle autorità nazionali. Le autorità statunitensi hanno dato agli enti federali tempo fino al 30 settembre.
Chi gestisce NetScaler conosce la sensazione. Citrix Bleed nell’ottobre 2023, Citrix Bleed 2 nell’estate del 2025, e ora questo. Ogni volta attacchi partiti prima o subito dopo la correzione.
La prima falla, CVE-2026-88771 con gravità 9,5, è un errore nella validazione dell’input che permette a un attaccante senza credenziali di eseguire comandi. Riguarda tutte le installazioni, anche con la configurazione predefinita. La seconda, CVE-2026-88772, sempre con gravità 9,5, è un overflow di memoria nella gestione di DTLS che porta all’esecuzione di codice o al blocco del servizio. DTLS è attivo di default sui virtual server VPN.
Web shell e tunnel
Gli attacchi osservati installano web shell PHP e strumenti di tunneling sull’apparato. Da lì gli attaccanti rubano credenziali e sessioni e possono muoversi nella rete interna. Sono stati colpiti enti pubblici e aziende di diversi settori, ma un’attribuzione pubblica non c’è.
Le versioni corrette sono la 14.1-73.37 e successive e la 13.1-64.23 e successive per ADC e Gateway, la 14.1-73.37 FIPS per ADC 14.1-FIPS e la 13.1-37.279 per ADC 13.1-FIPS e NDcPP. La 12.1 e la 13.0 non sono più supportate e vanno sostituite.
NetScaler è spesso la porta d’ingresso per il lavoro da remoto, quindi un apparato compromesso dà accesso alle sessioni degli utenti e alla rete che sta dietro. E qui c’è il dettaglio che cambia l’ordine delle operazioni: la patch non rimuove una web shell già installata.
Per questo le autorità raccomandano di invertire la sequenza abituale. Prima verifica la compromissione: cerca file PHP e script sconosciuti, processi e tunnel anomali, account aggiunti, e conserva le prove. Solo dopo installa la build corretta per il tuo ramo.
Ad aggiornamento fatto, chiudi tutte le sessioni attive e cambia le credenziali che passano dall’apparato. Se trovi segni di intrusione, tratta l’evento come un incidente sull’intera rete interna. Con Citrix Bleed, nel 2023, le sessioni rubate prima della patch erano rimaste valide anche dopo.
