NetScaler ADC e Gateway: nuove build per le falle PHP2Shell

Il 27 ottobre 2026 il CERT-FR (ANSSI) ha pubblicato l’avviso CERTFR-2026-AVI-1394 su più vulnerabilità di Citrix NetScaler ADC e NetScaler Gateway. Il rischio indicato è l’esecuzione di codice arbitrario da remoto. L’avviso rimanda al bollettino di Citrix CTX697263 del 26 ottobre, dedicato a CVE-2026-109618 e CVE-2026-109619.

Sono gli stessi identificativi delle due vulnerabilità critiche di PHP note come PHP2Shell, di cui abbiamo scritto il 20 ottobre e il 23 ottobre. Tra i documenti citati dal CERT-FR c’è anche una guida di Citrix intitolata «Protecting NetScaler management access from PHP CVE-2026-109618, CVE-2026-109619»: il bollettino porta quindi su NetScaler le correzioni per le due falle di PHP e, a giudicare dal titolo della guida, il tema riguarda l’accesso di gestione degli apparati.

Per NetScaler è il quarto bollettino in un mese, dopo gli zero-day CVE-2026-88771 e CVE-2026-88772, i malware WHIPSHOT e SLAPSHOT usati negli attacchi e CVE-2026-107406 su SAML. Di seguito quello che c’è di nuovo: le CVE, le versioni colpite e le build da installare.

Cosa dice l’avviso

• Riferimento: CERTFR-2026-AVI-1394, prima versione del 27 ottobre 2026.
• Fonte dell’avviso: bollettino di sicurezza Citrix CTX697263 del 26 ottobre 2026.
• CVE: CVE-2026-109618 e CVE-2026-109619.
• Rischio: esecuzione di codice arbitrario da remoto.
• Soluzione: le correzioni indicate nel bollettino di Citrix.

L’avviso è sintetico: non riporta punteggi CVSS, condizioni di sfruttamento né il componente di NetScaler coinvolto, e non parla di sfruttamenti in corso contro NetScaler. Questo articolo si basa solo sull’avviso del CERT-FR: per i dettagli tecnici fa fede il bollettino di Citrix.

Come abbiamo riportato negli articoli su PHP, le due falle hanno un punteggio CVSS 4.0 di 9.2, sono state corrette dal progetto PHP il 21 ottobre e, dopo la divulgazione, sono state oggetto di numerosi tentativi di sfruttamento contro i server PHP. Se venissero sfruttate su NetScaler, corrisponderebbero in MITRE ATT&CK a T1190 (Exploit Public-Facing Application).

Versioni colpite

Secondo il CERT-FR sono vulnerabili:

• NetScaler ADC 14.1.x precedenti a 14.1-73.49;
• NetScaler ADC 14.1-FIPS precedenti a 14.1-73.49 FIPS;
• NetScaler ADC 13.1.x precedenti a 13.1-64.32;
• NetScaler ADC 13.1-FIPS precedenti a 13.1-NDcPP 13.1.37.286;
• NetScaler Gateway 14.1.x precedenti a 14.1-73.49;
• NetScaler Gateway 13.1.x precedenti a 13.1-64.32.

Per il ramo 13.1-FIPS la versione è riportata così nell’avviso: controlla il numero esatto della build nel bollettino CTX697263.

Attenzione a chi ha aggiornato da poco. Le build indicate l’8 ottobre per CVE-2026-107406 (14.1-73.46, 13.1-64.29 e 14.1-73.46 FIPS) sono precedenti a quelle dell’avviso: rientrano quindi tra le versioni colpite e vanno aggiornate di nuovo.

Impatto per le aziende europee e italiane

NetScaler ADC e NetScaler Gateway stanno sul perimetro e spesso gestiscono l’accesso remoto di dipendenti e fornitori. Un’esecuzione di codice da remoto su questi apparati darebbe a un attaccante una posizione privilegiata verso la rete interna, come hanno mostrato le intrusioni di settembre.

Quattro bollettini in un mese sugli stessi apparati mettono alla prova i processi di aggiornamento. Per i soggetti NIS2 la gestione delle vulnerabilità deve essere documentata, con priorità e tempi espliciti: serve poter dimostrare che ogni NetScaler, comprese le istanze FIPS e NDcPP, è arrivato alle build del 26 ottobre. Nella sanità il gateway apre spesso l’accesso remoto ai sistemi clinici: va trattato con la stessa urgenza. Un eventuale incidente significativo va valutato ai fini della notifica al CSIRT Italia dell’ACN.

Cosa fare subito

1. Fai l’inventario: elenca tutti i NetScaler ADC e Gateway, comprese le istanze FIPS e NDcPP, con la build installata.
2. Aggiorna: porta gli apparati almeno a 14.1-73.49, 13.1-64.32 o 14.1-73.49 FIPS; per 13.1-FIPS e 13.1-NDcPP alla build indicata nel bollettino CTX697263. Vale anche per chi ha aggiornato a inizio ottobre.
3. Leggi la guida di Citrix sulla protezione dell’accesso di gestione da CVE-2026-109618 e CVE-2026-109619 e applicala, soprattutto se non puoi aggiornare subito.
4. Limita l’accesso di gestione: come regola generale, le interfacce di amministrazione degli apparati di rete devono essere raggiungibili solo da reti e postazioni amministrative, mai da Internet.
5. Segui solo le indicazioni di Citrix: le mitigazioni di configurazione di PHP descritte nei nostri articoli valgono per i server PHP, non per gli apparati NetScaler.
6. Non dimenticare gli zero-day di settembre: se un apparato era su una build anteriore a 14.1-73.37 o 13.1-64.23, cerca segni di compromissione come descritto nell’articolo su WHIPSHOT e SLAPSHOT, prima o insieme all’aggiornamento.
7. Sorveglia: accessi anomali alle interfacce di gestione, riavvii inattesi e connessioni insolite in uscita dagli apparati vanno indagati.

Come aiuta ARXDOME

ARX Expose mostra quali servizi la tua azienda espone su Internet, quali prodotti vi sono riconosciuti e quali hanno vulnerabilità note: aiuta a trovare in fretta i NetScaler da aggiornare e le interfacce di gestione raggiungibili dall’esterno. ARX Sentry raccoglie i log dei firewall e dei dispositivi di rete in un collettore centrale, così accessi anomali e connessioni sospette dal perimetro restano sotto gli occhi degli analisti. Con ARX Horizon puoi consultare dal portale le vulnerabilità e gli indicatori di compromissione.

Ultimo aggiornamento: 27 ottobre 2026