Citrix ha rilasciato aggiornamenti di sicurezza per due vulnerabilità critiche in NetScaler ADC e NetScaler Gateway che, secondo l'azienda, sono state sfruttate contro dispositivi senza patch. Le falle potrebbero consentire ad aggressori remoti di eseguire comandi o codice su appliance esposti, comunemente utilizzati per l'accesso VPN, l'autenticazione e la distribuzione delle applicazioni.
L'azienda ha identificato i problemi come CVE-2026-88771 e CVE-2026-88772, a ciascuno dei quali è stato assegnato un punteggio CVSS v4 di 9,5. Citrix ha dichiarato di aver osservato lo sfruttamento su implementazioni che non hanno applicato mitigazioni o aggiornamenti, ma non ha divulgato gli attori responsabili, la portata dell'attività o quando siano iniziati gli attacchi.
Condizioni di esposizione
- CVE-2026-88771 è un problema di convalida dell'input che può consentire l'esecuzione di comandi senza autenticazione. Citrix ha affermato che le versioni interessate sono vulnerabili indipendentemente dalla configurazione.
- CVE-2026-88772 è una vulnerabilità di overflow della memoria che può comportare l'esecuzione remota di codice o un denial of service. Colpisce le appliance con DTLS abilitato, un'impostazione attivata per impostazione predefinita in molte implementazioni di server virtuali VPN.
L'avviso segue le segnalazioni di ricercatori di sicurezza che hanno riscontrato prove di due vulnerabilità NetScaler di esecuzione remota di codice precedentemente non divulgate durante attività di risposta agli incidenti. Citrix non ha confermato esplicitamente se tali segnalazioni si riferissero alle stesse CVE, sebbene le descrizioni siano coerenti con l'avviso del fornitore.
Azione consigliata
Citrix ha invitato i clienti che utilizzano istanze interessate gestite dal cliente ad aggiornare immediatamente. Le versioni corrette includono NetScaler ADC e Gateway 14.1-73.37 e successive, 13.1-64.23 e successive versioni 13.1, oltre alle corrispondenti build FIPS e NDcPP aggiornate. L'azienda gestisce gli aggiornamenti per i propri servizi cloud e per le offerte Adaptive Authentication gestite da Citrix.
Il bollettino tratta anche altre sei falle, tra cui un problema di HTTP request smuggling e diverse vulnerabilità di sicurezza della memoria. Queste non sono state indicate come oggetto di sfruttamento attivo.
Le organizzazioni dovrebbero considerare l'applicazione delle patch solo una parte della risposta agli incidenti qualora si sospetti una compromissione. Citrix raccomanda di preservare i log pertinenti e le evidenze di sistema, isolare le appliance potenzialmente interessate, ruotare le credenziali e i segreti memorizzati dal dispositivo, revocare certificati e chiavi esposti e assicurarsi che le interfacce di gestione non siano raggiungibili pubblicamente. Gli amministratori dovrebbero inoltre esaminare l'attività di autenticazione e i log di rete per rilevare indicazioni che l'accesso possa essere stato ottenuto prima dell'installazione degli aggiornamenti.