Citrix ha rilasciato aggiornamenti d'emergenza per NetScaler ADC e NetScaler Gateway dopo la scoperta della CVE-2026-3055, una vulnerabilità di memory overread con punteggio CVSS 9.8 che consente a un attaccante remoto non autenticato di eseguire codice arbitrario sui sistemi vulnerabili. Il team di threat intelligence di Fortinet ha confermato uno sfruttamento attivo su larga scala contro le appliance esposte su Internet e configurate come SAML Identity Provider.

La vulnerabilità in dettaglio

La CVE-2026-3055 è classificata come out-of-bounds read (CWE-125) nel sottosistema SAML di NetScaler. Quando l'appliance è configurata come SAML Identity Provider — una configurazione comune nelle grandi organizzazioni che usano NetScaler come gateway di autenticazione per le applicazioni aziendali — un attaccante può inviare richieste SAML appositamente costruite che inducono il sistema a leggere aree di memoria non autorizzate.

Il risultato è duplice: da un lato la divulgazione di dati sensibili in memoria (token di sessione, credenziali, chiavi crittografiche temporanee), dall'altro — nelle configurazioni più esposte — la possibilità di raggiungere l'esecuzione di codice remoto. La gravità dello score 9.8 riflette proprio questa combinazione: accesso non autenticato, nessuna interazione utente richiesta e impatto potenzialmente completo su riservatezza, integrità e disponibilità.

Sfruttamento confermato su scala globale

Fortinet ha rilevato nelle proprie honeypot un'ondata di scansioni provenienti da IP noti per attività malevole a pochi giorni dalla disclosure pubblica. La piattaforma watchTowr ha a sua volta confermato tentativi di sfruttamento da attori già tracciati in attività precedenti. Il pattern è quello tipico delle vulnerabilità ad alto impatto su prodotti perimetrale diffusi: la finestra tra disclosure e exploit attivo si misura ormai in giorni, non settimane.

La CISA ha aggiunto la CVE-2026-3055 al proprio catalogo KEV (Known Exploited Vulnerabilities), imponendo alle agenzie federali statunitensi una scadenza di remediation al 2 aprile 2026. L'inserimento nel KEV è un segnale da prendere sul serio anche per le organizzazioni europee: indica sfruttamento reale e confermato, non solo teorico.

Su GitHub è già disponibile un tool di verifica pubblico (check-cve-2026-3055-netscaler) che permette di testare se un'appliance è vulnerabile con impatto minimo sul sistema — il che abbassa ulteriormente la soglia tecnica per gli attori meno sofisticati.

Versioni colpite e patch disponibili

Sono vulnerabili le installazioni di NetScaler ADC e NetScaler Gateway nelle seguenti versioni quando configurate come SAML Identity Provider:

  • Versioni precedenti alla 13.1-62.23 (build standard)
  • Versioni precedenti alla 13.1-37.262 (build FIPS/NDcPP)
  • Versioni precedenti alla 14.1-60.58 (build standard)

Citrix ha rilasciato le versioni corrette per tutti i branch interessati. Gli aggiornamenti sono disponibili sul portale di supporto Citrix.

Azioni immediate raccomandate

La priorità assoluta è aggiornare alle versioni patched. Per le organizzazioni in cui non è immediatamente possibile applicare la patch, è essenziale verificare se l'appliance è effettivamente configurata come SAML IDP: se la funzionalità non è in uso, disabilitarla riduce drasticamente la superficie d'attacco.

Le appliance NetScaler sono dispositivi perimetrali critici, spesso posizionati come unico punto di accesso alle applicazioni aziendali interne. Una loro compromissione consente all'attaccante non solo di intercettare credenziali e sessioni degli utenti, ma anche di usare l'appliance stessa come pivot per muoversi lateralmente all'interno della rete aziendale.

Le organizzazioni che gestiscono infrastrutture NetScaler dovrebbero anche verificare i log delle ultime settimane alla ricerca di richieste SAML anomale o accessi non riconosciuti, poiché lo sfruttamento potrebbe essere avvenuto prima dell'installazione della patch.

Il contesto: NetScaler nel mirino da anni

Non è la prima volta che NetScaler finisce al centro di campagne di sfruttamento massivo: nel 2023 e nel 2024 i gruppi di ransomware e i broker di accesso iniziale hanno preso di mira altre vulnerabilità critiche sulla stessa piattaforma. La popolarità di NetScaler come gateway di accesso aziendale lo rende un bersaglio ad altissimo valore strategico, ed è ragionevole aspettarsi che resti nel mirino anche in futuro.