Zero-day NetScaler CVE-2026-88779: DoS sui sistemi con SAML

📌 Sviluppi successivi: NetScaler CVE-2026-107406: SAML IdP a rischio anche dopo le patch (9 ottobre 2026) · Zero-day NetScaler: malware WHIPSHOT e SLAPSHOT e IoC da cercare (29 settembre 2026)

Citrix ha corretto CVE-2026-88779, una vulnerabilità di NetScaler ADC e NetScaler Gateway già sfruttata in attacchi mirati prima della patch. Il difetto è un overflow di memoria che, se l’apparato usa l’autenticazione SAML, permette di bloccarlo da remoto e di interrompere l’accesso ai servizi che protegge. La CISA l’ha inserita il 4 ottobre nel catalogo Known Exploited Vulnerabilities (KEV), con scadenza al 7 ottobre per le agenzie federali statunitensi.

A pochi giorni di distanza, l’8 ottobre, Citrix ha pubblicato un secondo bollettino per CVE-2026-107406, un altro overflow di memoria nelle stesse configurazioni SAML, questa volta classificato come critico e con possibile esecuzione di codice da remoto.

Cosa è successo

Venerdì 2 ottobre, mentre circolavano segnalazioni di sfruttamento, Citrix ha confermato di indagare su un problema legato all’autenticazione SAML nelle installazioni NetScaler gestite dai clienti. Nel fine settimana sono arrivati il bollettino con le versioni corrette e una mitigazione temporanea. Il produttore conferma di aver osservato attacchi mirati contro installazioni non mitigate, con effetti di denial of service, e afferma che l’integrità dei dati dei clienti non è stata compromessa. Nei ringraziamenti del bollettino compaiono watchTowr e Bishop Fox.

Secondo watchTowr, che ha riprodotto la vulnerabilità, basta una sola richiesta costruita ad arte per mettere fuori servizio l’apparato. I ricercatori ritengono che il difetto sia stato usato per far ripartire di proposito gli apparati e accelerare lo sfruttamento di CVE-2026-88771, uno dei due zero-day con esecuzione di codice corretti da Citrix il 27 settembre. È un’ipotesi dei ricercatori, non confermata dal produttore.

Dettagli tecnici

• CVE: CVE-2026-88779, CVSS 8.7, classificata dalla CISA come restrizione impropria delle operazioni entro i limiti di un buffer di memoria (CWE-119).
• Prodotti e versioni colpite:
  • NetScaler ADC e NetScaler Gateway 14.1 precedenti a 14.1-73.41;
  • NetScaler ADC e NetScaler Gateway 13.1 precedenti a 13.1-64.28.
• Condizione necessaria: l’apparato deve essere configurato come service provider (SP) o identity provider (IdP) SAML. Nella configurazione sono presenti righe come add authentication samlAction (SP) oppure add authentication samlIdPProfile (IdP).
• Vettore: rete, con una richiesta costruita ad arte verso il virtual server (Gateway o AAA) che usa SAML.
• Effetto confermato da Citrix: denial of service. BleepingComputer riporta che ricercatori e amministratori hanno poi indicato anche un possibile uso per l’esecuzione di codice. Il bollettino del produttore parla però solo di DoS.
• MITRE ATT&CK: T1190 (Exploit Public-Facing Application) e T1499.004 (Endpoint Denial of Service: Application or System Exploitation).

CVE-2026-107406 (CVSS 9.5) riguarda gli stessi prodotti configurati come SAML SP o IdP, in condizioni di configurazione specifiche, e anche le installazioni Secure Private Access Hybrid che usano NetScaler. Le versioni corrette sono 14.1-73.46, 13.1-64.29, 14.1-73.46 FIPS e 13.1.37.283 per 13.1-FIPS e 13.1-NDcPP. Alla pubblicazione del bollettino, Citrix dichiarava di non avere notizia di sfruttamenti.

Il contesto

Il 27 settembre Citrix aveva pubblicato otto CVE per ADC e Gateway. Due di queste, CVE-2026-88771 e CVE-2026-88772, erano già sfruttate prima della patch. Secondo le testate, gli attacchi hanno colpito enti pubblici e organizzazioni dei servizi finanziari, dell’istruzione, legali e professionali. Gli attaccanti hanno installato web shell e malware di tunneling, rubato credenziali, ottenuto i privilegi di root e si sono spostati nelle reti interne. Ad agosto la CISA aveva già aggiunto al KEV un altro overflow di memoria degli stessi prodotti, CVE-2026-8452.

Shadowserver conta oltre 21.000 indirizzi IP esposti su Internet con l’impronta di NetScaler, ma non si sa quanti siano vulnerabili, già aggiornati o honeypot.

Impatto per le aziende europee e italiane

NetScaler Gateway è spesso il punto d’ingresso per il lavoro da remoto e per le applicazioni virtualizzate. Se si blocca il gateway, si blocca il lavoro di chi passa da lì. Nella sanità, dove il gateway apre l’accesso remoto ai sistemi clinici, il DoS è anche un problema di continuità operativa.

Per i soggetti NIS2, l’interruzione di un servizio di accesso critico può diventare un incidente da valutare per la notifica al CSIRT nazionale, che in Italia è lo CSIRT Italia dell’ACN. Inoltre la sequenza di vulnerabilità sulle stesse appliance chiede una gestione delle vulnerabilità documentata e con priorità esplicite.

Cosa fare subito

1. Individua gli apparati coinvolti: elenca tutti i NetScaler ADC e Gateway, comprese le istanze usate da Secure Private Access Hybrid. Cerca nella configurazione le righe add authentication samlAction e add authentication samlIdPProfile.
2. Aggiorna: porta gli apparati almeno alle build del bollettino dell’8 ottobre (14.1-73.46, 13.1-64.29 e le corrispondenti FIPS e NDcPP). Sono successive a quelle che correggono CVE-2026-88779 (14.1-73.41 e 13.1-64.28).
3. Se non puoi aggiornare subito, applica le firme pubblicate da Citrix tramite la funzione NetScaler Global Deny List. È una misura temporanea, in attesa della build corretta.
4. Cerca segni di compromissione: esegui lo script di Citrix per gli indicatori di compromissione. Come ricorda watchTowr, però, un esito pulito non è una prova definitiva. Dai la precedenza agli apparati configurati come Gateway o virtual server AAA con SAML attivo.
5. Collega gli eventi: indaga su ogni riavvio o arresto anomalo recente di un NetScaler. Verifica anche che le correzioni per CVE-2026-88771 e CVE-2026-88772 siano installate, perché il DoS potrebbe essere servito proprio a sfruttarle.
6. Monitora la superficie esposta: controlla quali interfacce NetScaler sono raggiungibili da Internet e se servono davvero.

Come aiuta ARXDOME

ARX Expose mostra quali servizi la tua azienda espone su Internet, quali prodotti vi sono riconosciuti e quali hanno vulnerabilità note: aiuta a trovare in fretta i gateway da aggiornare. ARX Sentry raccoglie i log dei dispositivi di rete in un collettore centrale, così le anomalie del perimetro restano sotto gli occhi degli analisti. ARX Horizon permette di consultare dal portale le vulnerabilità e gli indicatori di compromissione.

Ultimo aggiornamento: 9 ottobre 2026