Due mesi tra la patch e il panico
Citrix ha corretto CVE-2026-8452, una vulnerabilità di memory overflow in NetScaler ADC e NetScaler Gateway, il 30 giugno 2026. Per due mesi la falla è rimasta descritta negli avvisi solo come un vago "memory overflow", una definizione che raramente porta una patch in cima alla lista di qualcuno.
La situazione è cambiata quando il gruppo di ricercatori di sicurezza WatchTowr ha pubblicato un proof-of-concept pubblico capace di trasformare quel memory overflow in esecuzione di codice remoto senza autenticazione. Una volta resi noti i meccanismi, chiunque disponesse del PoC poteva così colpire direttamente le appliance NetScaler non corrette, senza bisogno di credenziali valide.
Dal proof-of-concept allo sfruttamento attivo
La CISA ha aggiunto CVE-2026-8452 al proprio catalogo Known Exploited Vulnerabilities il 26 agosto 2026, fissando per le agenzie federali statunitensi una scadenza di rimedio al 29 agosto 2026. L'inserimento nel KEV conferma ciò che il PoC aveva già reso possibile: sfruttamento reale, non più un rischio teorico confinato a un laboratorio.
Gli attaccanti stanno già installando webshell su appliance compromesse - tra i nomi di file osservati figurano x.php e z.php - sulle configurazioni dei server virtuali NetScaler Gateway e AAA. Sono le stesse configurazioni che le aziende dell'UE e del Regno Unito usano per gli accessi remoti SSL VPN, ICA Proxy, CVPN e RDP Proxy, il che significa che un'appliance compromessa può offrire a un attaccante un punto d'appoggio proprio nei sistemi costruiti per proteggere l'accesso remoto.
Quali versioni di NetScaler sono davvero corrette
La correzione di Citrix è arrivata in tre build specifiche, e chi utilizza una versione precedente lascia aperta la strada verso l'esecuzione di codice remoto senza autenticazione. Le versioni corrette sono 14.1-72.61, 13.1-63.18 e 13.1-37.272.
| Ramo | Versione corretta |
|---|---|
| NetScaler 14.1 | 14.1-72.61 |
| NetScaler 13.1 | 13.1-63.18 |
| NetScaler 13.1 (ramo precedente) | 13.1-37.272 |
L'analisi tecnica di Bishop Fox ha verificato come la patch chiuda effettivamente il percorso di sfruttamento, confermando che le appliance su queste build non sono più vulnerabili alla tecnica pubblicata da WatchTowr.
La lezione di governance: un ticket chiuso non è una patch verificata
Un ticket chiuso il 30 giugno 2026 dimostra soltanto che qualcuno ha preso nota dell'avviso di Citrix, non che la patch sia stata davvero installata su ogni appliance. La reale finestra di esposizione di CVE-2026-8452 non si è aperta a giugno: si è aperta ad agosto, nel momento in cui il proof-of-concept di WatchTowr ha trasformato una descrizione vaga in un exploit funzionante che chiunque poteva copiare.
Per le aziende dell'Unione Europea e del Regno Unito che usano NetScaler Gateway per la VPN o l'accesso remoto, la domanda giusta da porsi oggi non è se il ticket di giugno sia stato chiuso. È se l'appliance stia davvero eseguendo la 14.1-72.61, la 13.1-63.18 o la 13.1-37.272, e se quel numero di versione sia stato confermato sul dispositivo stesso e non semplicemente dedotto da un registro delle modifiche. Il resoconto di BleepingComputer sull'ordine della CISA ribadisce lo stesso punto anche per le agenzie federali che ora affrontano una scadenza fissata di sabato: la data dell'avviso e la data della verifica non coincidono, e solo la seconda chiude davvero la falla.
Da leggere ora: 9.8 CVSS: la falla VNC di macOS ora mina Monero | La patch di aprile per la VPN è già sotto attacco
