Citrix invita gli amministratori a intervenire subito per correggere due gravi falle di sicurezza che colpiscono NetScaler Gateway e NetScaler ADC, raccomandando l'aggiornamento immediato per evitare possibili attacchi informatici.
Citrix ha lanciato un allarme rivolto ai propri clienti, chiedendo di mettere in sicurezza senza indugi i sistemi NetScaler Gateway e NetScaler ADC a causa di due nuove vulnerabilità critiche. La più pericolosa, identificata come CVE-2026-19490, consente a un attaccante remoto privo di privilegi di bypassare l'autenticazione quando l'appliance è configurata come AAA virtual server o Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy), a seconda della versione firmware e della presenza di configurazioni SAML. Gli amministratori possono verificare la vulnerabilità controllando la presenza delle stringhe di configurazione "add authentication samlAction .*", "add authentication vserver .*" e "add vpn vserver .*".
Dettagli sulle falle e sistemi a rischio
La seconda vulnerabilità, CVE-2026-19489, è un grave problema di overflow di memoria che può essere sfruttato da attori remoti non autenticati per lanciare attacchi di denial-of-service (DoS) quando SIP ALG è attivo su configurazioni NAT di grandi dimensioni. Per identificare i sistemi esposti, i team di sicurezza devono cercare la stringa "add lsn group.*sipalg.*" nella configurazione degli appliance NetScaler.
Versioni sicure e raccomandazioni di Citrix
Citrix raccomanda di aggiornare immediatamente NetScaler ADC e NetScaler Gateway alle seguenti versioni o successive: 14.1-73.32, 13.1-63.21, 14.1-73.32 FIPS, oppure 13.1-37.277 FIPS e NDcPP, a seconda del modello e delle esigenze di conformità. L'azienda sottolinea l'importanza di consultare il bollettino ufficiale di sicurezza e di valutare attentamente l'impatto sulle proprie infrastrutture, compresi i deployment SecurAccess ZTNA Hybrid che utilizzano istanze NetScaler gestite dal cliente.
Precedenti attacchi e rischio di exploit
Al momento non risultano exploit attivi per queste due vulnerabilità, ma Citrix ricorda che in passato, come avvenuto per le falle CVE-2026-3055 e CVE-2026-4368, gli attacchi sono iniziati pochi giorni dopo la pubblicazione delle patch. CISA ha inserito la CVE-2026-3055 nel suo catalogo delle vulnerabilità note sfruttate il 30 marzo, imponendo alle agenzie federali di intervenire entro tre giorni. Negli ultimi cinque anni, l'agenzia statunitense ha segnalato 22 vulnerabilità Citrix sfruttate attivamente, sei delle quali coinvolte anche in attacchi ransomware.
Esposizione globale e monitoraggio
Secondo la ShadowServer Foundation, sono oltre 22.000 le istanze NetScaler ADC e quasi 1.800 quelle NetScaler Gateway esposte su Internet, anche se non è noto quante siano effettivamente vulnerabili alle nuove falle. Il tema della rapidità nell'applicazione delle patch è centrale anche per altri vendor: basti pensare a quanto accaduto di recente con SonicWall, dove CISA ha confermato l'attività di ransomware su vulnerabilità appena corrette nei gateway SMA1000, sottolineando l'urgenza di aggiornare tempestivamente i dispositivi esposti.
