Ing. Calogero Bono
Il 12 novembre 2026 l'ACN ha pubblicato un alert sugli aggiornamenti di sicurezza rilasciati da Citrix per NetScaler ADC, NetScaler Gateway, NetScaler Console, Secure Access Client e App Layering. Le vulnerabilità corrette sono molte, 10 con gravità critica e 15 con gravità alta. Alcune permettono di aggirare l'autenticazione, altre di mandare in blocco il servizio. Se usi NetScaler come accesso remoto o bilanciatore, conviene controllare subito la versione installata.
Qualche termine, prima di entrare nei fatti. NetScaler ADC è l'apparato che distribuisce il traffico verso i server. Gateway è la parte che gestisce gli accessi remoti. CVSS è il punteggio da 0 a 10 che misura la gravità di una falla. DoS (denial of service) indica un attacco che rende il servizio non disponibile. Authentication bypass significa aggirare il controllo di login.
Cosa ha rilasciato Citrix?
Secondo l'alert dell'ACN, Citrix ha pubblicato aggiornamenti per molteplici vulnerabilità nei prodotti NetScaler ADC, NetScaler Gateway, NetScaler Console, Secure Access Client e App Layering. L'agenzia elenca quattro tipologie di rischio, esecuzione di codice arbitrario, bypass dell'autenticazione, negazione del servizio ed escalation dei privilegi.
Per The Hacker News i difetti dettagliati sono 12, tra NetScaler e Secure Access Client. L'ACN conta invece 25 problemi tra critici e alti, ed esclude dall'elenco i componenti di terze parti.
Quali sono le falle critiche di NetScaler ADC e Gateway?
Sono quasi tutte overflow o corruzioni di memoria che possono causare comportamento imprevedibile o DoS. Il punteggio CVSS è 9.3 per la maggior parte, con CVE-2026-107412 a 9.5.
Il punto importante è la configurazione. Solo CVE-2026-120868, sul Packet Processing, riguarda tutte le installazioni. Le altre dipendono da come è impostato l'apparato.
- SMPP, con virtual server di quel tipo.
- DNS e DNS-over-HTTPS, con bilanciamento o risoluzione ricorsiva.
- NetScaler Push, Email OTP ed Endpoint Analysis.
- Gateway o AAA virtual server, e proxy ICA.
Cosa cambia per NetScaler Console e Secure Access Client?
CVE-2026-120869, punteggio 9.4, riguarda NetScaler Console. Un attaccante non autenticato potrebbe aggirare i controlli e accedere a risorse riservate dell'appliance. La correzione è nella 14.1-74.34.
Sul fronte client, CVE-2026-118268 permette a un utente con pochi privilegi di arrivare a SYSTEM su Windows. CVE-2026-118269 consente di ottenere privilegi root su Linux. Entrambe hanno punteggio 8.5 e sono corrette nelle versioni 26.11.1.6 e 26.10.4.
Quali versioni bisogna installare?
Per NetScaler ADC e Gateway servono la 14.1-73.57 o successive e la 13.1-64.39 o successive. Per ADC FIPS 14.1 la 14.1-73.58 FIPS. Per ADC FIPS e NDcPP 13.1 la 13.1-37.293.
L'ACN indica anche NetScaler Console 14.1-74.34, Secure Access Client per Windows 26.11.1.6, per Linux 26.10.4 e App Layering 2603.9. L'agenzia ricorda che i prodotti sono vulnerabili solo alle condizioni descritte nei bollettini del produttore, che quindi vanno letti.
Per approfondire, Xen Orchestra, Vates rileva lo sfruttamento in rete di due vulnerabilità e l'ACN chiede di aggiornare e Wazuh, l'ACN segnala PoC pubblici per 8 vulnerabilità e chiede di aggiornare alla 4.14.9.
Limiti da conoscere
Mancano alcuni dettagli. La fonte ACN non riporta qui l'elenco completo delle CVE e The Hacker News ne descrive solo una parte. Citrix dichiara di non essere a conoscenza di exploit per le falle annunciate, ma è un'affermazione dell'azienda e non l'abbiamo verificata. Non sappiamo se la situazione cambierà dopo la pubblicazione dei dettagli tecnici.
Cosa cambia per chi lavora con il digitale
Se gestisci NetScaler, controlla versione e configurazione. Molte falle toccano funzioni specifiche, quindi capire quali servizi hai attivi aiuta a stabilire la priorità. Gli apparati esposti su Internet, come Gateway e virtual server AAA, vanno aggiornati per primi. Non dimenticare i client installati sui PC dei dipendenti. Chi affida i server a un fornitore, come con un hosting con aggiornamenti di sicurezza gestiti, dovrebbe chiedere conferma dell'avvenuta patch. Serve anche un piano per i riavvii, perché gli accessi remoti potrebbero interrompersi.
Il nostro parere
Il dato più interessante è il metodo. Secondo The Hacker News, Citrix attribuisce le correzioni a una revisione del codice con analisi assistita da intelligenza artificiale. Se è così, lo strumento trova difetti prima degli attaccanti, e questo è un bene. Ma un lotto così ampio dice anche quanto codice vecchio ci fosse da controllare. Per i clienti il conto è semplice, più patch da applicare. Va ripetuto il consiglio di non lasciare console e gateway raggiungibili da tutta la rete senza necessità.
Domande frequenti
Le vulnerabilità Citrix sono già sfruttate?
Citrix dichiara di non essere a conoscenza di exploit. È una dichiarazione dell'azienda. Non aspettare conferme, aggiorna comunque.
Quante vulnerabilità ha corretto Citrix?
Secondo l'ACN, 10 critiche e 15 alte. The Hacker News ne descrive 12 in dettaglio. La differenza dipende da cosa si conta e dalle fonti.
Quale falla è la più grave?
Per punteggio, CVE-2026-107412 con 9.5 su NetScaler configurato come Gateway o AAA. Segue CVE-2026-120869 con 9.4 su NetScaler Console, un bypass dell'autenticazione.
Devo aggiornare anche i client?
Sì, se usi Secure Access Client. Due falle da 8.5 permettono di ottenere privilegi SYSTEM su Windows o root su Linux. Servono le versioni 26.11.1.6 e 26.10.4.
Dove trovo le istruzioni ufficiali?
Nei bollettini di sicurezza di Citrix, richiamati dall'alert dell'ACN. Lì trovi le condizioni precise in cui ogni prodotto risulta vulnerabile.
Cosa osservare nelle prossime settimane su NetScaler
Dopo la patch si apre la fase in cui gli attaccanti studiano le correzioni. Conviene restare vigili.
- Controlla se compaiono dettagli tecnici o exploit pubblici sulle CVE, anche nei nuovi aggiornamenti dell'ACN.
- Verifica nei log tentativi anomali su Gateway, AAA e Console nei giorni precedenti alla patch.
- Annota le versioni installate di ogni appliance e client, per la prossima finestra di aggiornamento.
