Un bug da 9,5 che richiede una configurazione precisa
Il 9 ottobre Citrix ha rilasciato patch per CVE-2026-107406, un overflow di memoria in NetScaler ADC e NetScaler Gateway che può portare a esecuzione di codice da remoto o a negazione del servizio in specifiche condizioni di configurazione. Ottiene 9,5 su CVSS v4.0 ed è classificato come CWE-119, limitazione impropria delle operazioni all'interno di un buffer di memoria.
Citrix dice che non ci sono prove di sfruttamento attivo, anche se The Register nota che non ha precisato se il bug sia stato usato come zero-day prima della divulgazione. Citrix ha attribuito l'individuazione del bug a ricercatori del team XOR di JPMorgan Chase e a Maxim Suhanov.
Il controllo delle due righe
Il bug è sfruttabile solo quando l'appliance è configurata come identity provider SAML o come service provider, ed è la configurazione a mostrare quale dei due casi vale.
The Hacker News indica due voci da cercare. Un service provider SAML ha una riga che inizia con add authentication samlAction, un identity provider SAML una che inizia con add authentication samlIdPProfile. Cercate entrambe nella configurazione salvata. Se non ce n'è nessuna, questa condizione specifica non è soddisfatta, ma ciò non esclude l'appliance dagli altri bug di NetScaler descritti più sotto.
Quali build sono interessate
Quali build sono vulnerabili dipende dal ruolo SAML. Le più vecchie sono esposte in entrambi i ruoli, alcune più recenti solo come identity provider.
| Ramo | Esposta come SP o IdP SAML | Esposta solo come IdP SAML | Corretta in |
|---|---|---|---|
| ADC e Gateway 14.1 | Precedenti a 14.1-73.37 | Da 14.1-73.37 a 14.1-73.41 | 14.1-73.46 e successive |
| ADC 14.1-FIPS | Precedenti a 14.1-73.37 FIPS | Da 14.1-73.37 FIPS a 14.1-73.41 FIPS | 14.1-73.46 FIPS e successive |
| ADC e Gateway 13.1 | Precedenti a 13.1-64.23 | Da 13.1-64.23 a 13.1-64.28 | 13.1-64.29 e successive |
| ADC 13.1-FIPS e 13.1-NDcPP | Precedenti a 13.1-37.279 | Da 13.1-37.279 a 13.1-37.282 | 13.1-37.283 e successive |
Sono interessate anche le installazioni Secure Private Access Hybrid che usano istanze NetScaler, e richiedono lo stesso aggiornamento. Citrix gestisce gli aggiornamenti dei suoi servizi cloud gestiti e di Adaptive Authentication, quindi lì non c'è nulla da installare, mentre chi gestisce appliance proprie deve aggiornarle.
La stessa funzione dietro i bug sfruttati
The Hacker News elenca altri tre bug di NetScaler sotto sfruttamento attivo: CVE-2026-88771, CVE-2026-88772 e CVE-2026-88779. Ricercatori di Google hanno detto che una campagna che sfrutta CVE-2026-88772 era in corso da almeno l'inizio di settembre, con organizzazioni di governo, finanza, legale e istruzione in Nord America ed Europa probabilmente colpite, riferisce The Register. Citrix ha divulgato CVE-2026-88779, con punteggio 8,7, il venerdì precedente, e The Register nota che questo e il nuovo bug sono entrambi overflow di memoria che riguardano configurazioni SAML.
Citrix non ha indicato il nuovo bug come sfruttato, e questa è un'affermazione sul presente. Poiché la stessa funzione ha prodotto bug sfruttati nelle ultime settimane, pianificheremmo dando per scontato che anche gli attaccanti leggano questo avviso.
Un ordine di priorità per questa settimana
Fate prima il controllo della configurazione, perché divide le vostre appliance tra quelle da aggiornare questa settimana e quelle che possono attendere il ciclo normale.
Le appliance con configurazione SAML vengono per prime, alla 14.1-73.46, alla 13.1-64.29 o alla build FIPS corrispondente, e tutto ciò che non ha ancora le correzioni dei tre bug sfruttati passa davanti a questo. Se un aggiornamento non è possibile entro 72 ore, nel frattempo restringete chi può raggiungere gli endpoint SAML.
Poi trattate NetScaler come qualsiasi gateway di autenticazione esposto a internet: un responsabile con nome e cognome, un'iscrizione agli avvisi e una finestra di patch fissa. Citrix ha ora emesso un avviso critico oltre a tre bug sfruttati nel giro di poche settimane, e un ciclo mensile non copre uno schema così.
Da leggere ora: Corretta a giugno, sfruttata ad agosto: la falla NetScaler | CitrixBleed torna, sfruttato in meno di un giorno
