Citrix NetScaler, zero-day sfruttati: intrusioni in Finlandia

📌 Sviluppi successivi: NetScaler CVE-2026-107406: SAML IdP a rischio anche dopo le patch (9 ottobre 2026) · Zero-day NetScaler: malware WHIPSHOT e SLAPSHOT e IoC da cercare (29 settembre 2026)

Il 27 settembre 2026 Citrix ha pubblicato correzioni per diverse vulnerabilità di NetScaler ADC e NetScaler Gateway. Due di queste, CVE-2026-88771 e CVE-2026-88772, erano già sfruttate prima che le patch fossero disponibili. Lo stesso giorno la CISA le ha inserite nel catalogo Known Exploited Vulnerabilities (KEV), con scadenza al 30 settembre per le agenzie federali statunitensi.

In Europa il caso più documentato è quello della Finlandia: il Kyberturvallisuuskeskus (NCSC-FI) ha ricevuto segnalazioni di intrusioni riuscite nel paese e ha emesso un avviso, aggiornato il 3 ottobre. Anche l’NCSC-NL ha pubblicato un avviso (NCSC-2026-0394) con classificazione H/H: probabilità alta e danno alto.

Cosa è successo

Secondo l’NCSC-FI, lo sfruttamento è iniziato prima del 27 settembre: le intrusioni sono quindi avvenute su sistemi per cui non esisteva ancora una correzione. L’agenzia finlandese ha individuato nel paese centinaia di istanze NetScaler esposte e ha contattato chi le gestisce. Il Canadian Centre for Cyber Security riferisce di sfruttamenti osservati in più ambienti di clienti Citrix nel mondo, precisando che la reale estensione dell’attività non è ancora nota.

Le due agenzie concordano su un punto: chi espone NetScaler su Internet deve partire dall’ipotesi che l’apparato possa essere stato attaccato. Aggiornare non basta, perché un attaccante entrato prima della patch può aver lasciato meccanismi di persistenza che restano attivi anche dopo l’installazione delle nuove versioni.

Dettagli tecnici

• CVE-2026-88771: validazione impropria dell’input (CWE-20). Permette a un attaccante remoto non autenticato di eseguire codice arbitrario sull’apparato. Secondo il Canadian Centre for Cyber Security, uno sfruttamento riuscito può portare alla compromissione completa dell’appliance, all’accesso non autorizzato ad applicazioni e servizi, al furto di credenziali e allo spostamento laterale verso i sistemi interni.
• CVE-2026-88772: buffer overflow (CWE-119, restrizione impropria delle operazioni entro i limiti di un buffer di memoria). Può causare esecuzione di codice arbitrario, corruzione della memoria o denial of service.
• Il bollettino completo: secondo l’NCSC-FI le CVE corrette il 27 settembre sono otto, da CVE-2026-88771 a CVE-2026-88778, con punteggi CVSS 4.0 tra 7.0 e 9.5. Comprendono esecuzione di codice da remoto, HTTP request smuggling, corruzione della memoria e aggiramento di meccanismi di protezione.
• Versioni colpite:
  • NetScaler ADC e NetScaler Gateway 14.1 precedenti a 14.1-73.37;
  • NetScaler ADC e NetScaler Gateway 13.1 precedenti a 13.1-64.23;
  • NetScaler ADC 14.1-FIPS precedenti a 14.1-73.37 FIPS;
  • NetScaler ADC 13.1-FIPS e 13.1-NDcPP precedenti a 13.1-37.279.
• Vettore: rete, verso l’apparato esposto. In MITRE ATT&CK lo sfruttamento corrisponde a T1190 (Exploit Public-Facing Application).
• Uso in campagne ransomware: per la CISA, al momento, non noto.

Il seguito: il problema SAML

Il 2 ottobre Citrix ha segnalato un nuovo problema che riguarda gli apparati configurati con l’autenticazione SAML: un attaccante remoto può renderli instabili, con denial of service, riavvii ripetuti e possibili ulteriori sfruttamenti. Il Canadian Centre for Cyber Security precisa che si tratta di un difetto distinto e che le versioni che correggono CVE-2026-88771 e CVE-2026-88772 non lo risolvono. L’NCSC-FI sottolinea che dipende dalla configurazione e non tocca tutte le installazioni. Ne abbiamo parlato nell’articolo sullo zero-day NetScaler con SAML.

Impatto per le aziende europee e italiane

NetScaler Gateway è usato da organizzazioni di ogni dimensione per l’accesso remoto dei dipendenti: un apparato compromesso dà all’attaccante una posizione privilegiata sul perimetro e una via verso la rete interna. Il caso finlandese mostra che gli attacchi hanno colpito anche organizzazioni europee, prima ancora che esistesse una patch.

Per i soggetti NIS2, una compromissione del gateway di accesso remoto è un incidente da valutare per la notifica al CSIRT nazionale, che in Italia è lo CSIRT Italia dell’ACN. Lo stesso vale per le strutture sanitarie, dove il gateway può aprire l’accesso remoto ai sistemi clinici.

Cosa fare subito

1. Aggiorna: porta tutti i NetScaler ADC e Gateway almeno alle versioni 14.1-73.37, 13.1-64.23, 14.1-73.37 FIPS e 13.1-37.279 (13.1-FIPS e 13.1-NDcPP). Se usi SAML, segui anche le indicazioni di Citrix sul nuovo problema e installa le nuove build correttive.
2. Conserva le prove prima di intervenire: dove possibile, salva log dell’apparato, syslog remoti, log di NetScaler Console e support bundle prima di riavviare, aggiornare o ricostruire.
3. Cerca segni di compromissione: esegui lo strumento di Citrix per gli indicatori di compromissione (IOC) di NetScaler Console. Controlla account creati, attività pianificate, servizi, script di avvio, cartelle delle applicazioni web e dump dei crash, oltre a processi e connessioni attive.
4. Allarga l’indagine: incrocia i risultati con log di firewall, DNS, autenticazione ed endpoint. Cerca connessioni in uscita inattese, accessi amministrativi anomali e attività sospette sui sistemi raggiungibili dall’apparato.
5. Se sospetti una compromissione: isola l’apparato, cambia le password amministrative, invalida le sessioni attive e sostituisci i certificati. Preparati a ricostruire l’appliance da software affidabile e da una configurazione verificata, e contatta Citrix.
6. Valuta l’esposizione: il Canadian Centre for Cyber Security suggerisce, se l’analisi del rischio lo giustifica, di spegnere temporaneamente gli apparati esposti su Internet, pesando i rischi contro l’impatto sul servizio.

Come aiuta ARXDOME

ARX Expose mostra quali servizi la tua azienda espone su Internet, quali prodotti vi sono riconosciuti e quali hanno vulnerabilità note: aiuta a trovare in fretta i gateway da aggiornare. ARX Sentry raccoglie i log dei firewall e dei dispositivi di rete in un collettore centrale, così connessioni anomale e accessi sospetti restano sotto gli occhi degli analisti. Con ARX Horizon puoi consultare dal portale le vulnerabilità e cercare gli indicatori di compromissione.

Ultimo aggiornamento: 3 ottobre 2026