NetScaler CVE-2026-107406: SAML IdP a rischio anche dopo le patch

Per la terza settimana di fila Citrix ha pubblicato un bollettino critico per NetScaler ADC e NetScaler Gateway gestiti dai clienti. La nuova vulnerabilità, CVE-2026-107406 (CVSS 4.0: 9.5), è un overflow di memoria negli apparati configurati per l’autenticazione SAML e può portare a esecuzione di codice da remoto o a denial of service. Ne avevamo dato notizia in breve nell’articolo sullo zero-day SAML CVE-2026-88779; di seguito i dettagli tecnici arrivati con gli avvisi delle agenzie nazionali.

Il punto più importante per chi gestisce NetScaler: le build installate nelle ultime settimane per chiudere gli zero-day non bastano. Chi ha aggiornato per CVE-2026-88771, CVE-2026-88772 e CVE-2026-88779 e usa l’apparato come identity provider SAML deve aggiornare di nuovo.

Cosa è successo

Il bollettino di Citrix (CTX697191) è dell’8 ottobre. Il 9 ottobre lo hanno ripreso il Canadian Centre for Cyber Security (avviso AV26-1023) e l’NCSC irlandese, che raccomanda di installare gli aggiornamenti «con la massima priorità, dopo test accurati». Il 12 ottobre è arrivato anche l’avviso del KrCERT/CC coreano.

Secondo CSO Online, Citrix dichiara di non essere a conoscenza di sfruttamenti della vulnerabilità su sistemi non mitigati. Al 9 ottobre, riporta l’NCSC irlandese, CVE-2026-107406 non era nel catalogo Known Exploited Vulnerabilities (KEV) della CISA.

La sequenza resta però preoccupante. Il 27 settembre sono state corrette CVE-2026-88771 e CVE-2026-88772, già sfruttate prima della patch (ne abbiamo parlato nell’articolo sulle intrusioni). Pochi giorni dopo è arrivata CVE-2026-88779, un altro overflow di memoria nelle configurazioni SAML, sfruttato per mandare in DoS gli apparati. CVE-2026-107406 colpisce di nuovo la funzione SAML, che gli attaccanti hanno già preso di mira.

Dettagli tecnici

• CVE: CVE-2026-107406, pubblicata l’8 ottobre 2026.
• Debolezza: CWE-119, restrizione impropria delle operazioni entro i limiti di un buffer di memoria (KrCERT/CC e NCSC irlandese).
• Gravità: critica, CVSS 4.0 pari a 9.5.
• Impatto: esecuzione di codice da remoto o denial of service (NCSC irlandese e CSO Online).
• Vettore: rete, verso l’apparato configurato come service provider (SP) o identity provider (IdP) SAML. Se venisse sfruttata, corrisponderebbe in MITRE ATT&CK a T1190 (Exploit Public-Facing Application) e, per l’effetto di DoS, a T1499.004 (Endpoint Denial of Service: Application or System Exploitation).
• Sfruttamento noto: nessuno alla pubblicazione degli avvisi; uso da parte di operatori ransomware non indicato.

Quali configurazioni sono colpite

La condizione cambia secondo la versione. L’avviso dell’NCSC irlandese riporta lo schema del bollettino:

• Solo come SAML IdP sono vulnerabili le build più recenti, cioè proprio quelle che correggevano gli zero-day:
  • NetScaler ADC e Gateway da 14.1-73.37 a 14.1-73.41 incluse;
  • NetScaler ADC 14.1-FIPS da 14.1-73.37 FIPS a 14.1-73.41 FIPS incluse;
  • NetScaler ADC e Gateway da 13.1-64.23 a 13.1-64.28 incluse;
  • NetScaler ADC 13.1-FIPS e 13.1-NDcPP da 13.1-37.279 a 13.1-37.282 incluse.
• Come SAML SP o IdP sono vulnerabili le build precedenti:
  • NetScaler ADC e Gateway prima di 14.1-73.37 e prima di 13.1-64.23;
  • NetScaler ADC 14.1-FIPS prima di 14.1-73.37 FIPS;
  • NetScaler ADC 13.1-FIPS e 13.1-NDcPP prima di 13.1-37.279.

In pratica: su una build di settembre o di inizio ottobre, un apparato che fa solo da service provider SAML non è colpito; uno che fa da identity provider sì. Su build più vecchie basta una qualsiasi configurazione SAML. E chi è ancora su build più vecchie non ha nemmeno le correzioni per gli zero-day sfruttati.

Versioni corrette: 14.1-73.46 e successive, 13.1-64.29 e successive, 14.1-73.46 FIPS e 13.1-37.283 per 13.1-FIPS e 13.1-NDcPP. Le quattro fonti concordano su questi numeri. Il Canadian Centre for Cyber Security e il KrCERT/CC pubblicano solo le versioni, senza le condizioni di configurazione.

Impatto per le aziende europee e italiane

NetScaler Gateway è spesso il punto d’accesso remoto per dipendenti, fornitori e applicazioni virtualizzate, e la funzione di IdP SAML lo rende il fornitore d’identità per altre applicazioni. Un’esecuzione di codice su questo componente darebbe a un attaccante una posizione privilegiata sul perimetro; un DoS bloccherebbe il lavoro di chi passa da lì. Nella sanità questo significa anche l’accesso remoto ai sistemi clinici.

Tre aggiornamenti urgenti in tre settimane sugli stessi apparati mettono alla prova i processi. Per i soggetti NIS2 la gestione delle vulnerabilità deve essere documentata, con priorità e tempi espliciti: qui serve la prova che ogni apparato con SAML è arrivato alle build dell’8 ottobre, non solo a quelle di fine settembre.

Cosa fare subito

1. Fai l’inventario delle versioni: elenca tutti i NetScaler ADC e Gateway, comprese le istanze FIPS e NDcPP, con la build installata.
2. Verifica il ruolo SAML: come indicato nell’articolo su CVE-2026-88779, la configurazione IdP contiene righe add authentication samlIdPProfile, quella SP righe add authentication samlAction. Dai la precedenza agli apparati IdP, vulnerabili anche con le build più recenti.
3. Aggiorna: porta gli apparati a 14.1-73.46, 13.1-64.29, 14.1-73.46 FIPS o 13.1-37.283, anche se li hai aggiornati da pochi giorni. Le nuove build includono le correzioni precedenti.
4. Non saltare i controlli sugli zero-day: se un apparato è ancora su una build anteriore a 14.1-73.37 o 13.1-64.23, era esposto anche a CVE-2026-88771 e CVE-2026-88772. Prima di aggiornare cerca segni di compromissione, come descritto nell’articolo su WHIPSHOT e SLAPSHOT.
5. Tieni d’occhio i segnali: riavvii o crash anomali degli apparati con SAML attivo vanno indagati, soprattutto dopo il caso di CVE-2026-88779.
6. Controlla il catalogo KEV: se la CISA vi aggiunge CVE-2026-107406, tratta ogni apparato non aggiornato come potenzialmente compromesso.

Come aiuta ARXDOME

ARX Expose mostra quali servizi la tua azienda espone su Internet, quali prodotti vi sono riconosciuti e quali hanno vulnerabilità note: aiuta a trovare in fretta i NetScaler ancora da aggiornare. ARX Sentry raccoglie i log dei dispositivi di rete in un collettore centrale, così riavvii anomali e connessioni sospette dal perimetro restano sotto gli occhi degli analisti. Con ARX Horizon puoi consultare dal portale le vulnerabilità e gli indicatori di compromissione.

Ultimo aggiornamento: 12 ottobre 2026