Cosa è successo

Il 30 giugno 2026 Citrix ha pubblicato un bollettino di sicurezza (CTX696604) che corregge sei vulnerabilità in NetScaler ADC e NetScaler Gateway. La più grave, identificata come CVE-2026-8451 (CVSS 8.8), riporta alla memoria un fantasma che il settore conosce bene: CitrixBleed, la falla del 2023 che permise di rubare i token di sessione e di violare organizzazioni in tutto il mondo, ospedali e infrastrutture critiche comprese.

CVE-2026-8451 è una lettura di memoria fuori dai limiti (out-of-bounds read): in determinate condizioni l'appliance restituisce all'attaccante porzioni della propria memoria, che possono contenere token di sessione, cookie e altri dati sensibili. Per innescarla non serve alcuna autenticazione.

Il dettaglio tecnico

Il problema nasce nel parser XML che NetScaler usa durante il flusso SAML. Quando l'appliance è configurata come Identity Provider (IdP) SAML, il parser gestisce in modo errato i valori degli attributi XML non racchiusi tra virgolette: invece di fermarsi al ritorno a capo, continua a leggere finché non incontra un byte nullo, un carattere «>» o una virgoletta di chiusura. Il risultato è che l'applicazione legge oltre il buffer previsto e riversa il contenuto della memoria nel cookie NSC_TASS della risposta HTTP. È lo stesso meccanismo concettuale di CitrixBleed: un errore di gestione della memoria che trasforma una richiesta apparentemente innocua in una finestra aperta sui segreti del dispositivo.

La condizione necessaria è che NetScaler sia configurato come IdP SAML. Sono interessate le versioni 14.1 precedenti alla 14.1-72.61 e le 13.1 precedenti alla 13.1-63.18, insieme alle corrispondenti build FIPS e NDcPP.

Sfruttata in poche ore

Come già accaduto quest'anno con altre falle perimetrali — ne avevamo scritto a proposito di una precedente vulnerabilità di NetScaler legata a SAML — il tempo tra la pubblicazione e i primi attacchi si è misurato in ore, non in settimane. CrowdSec ha rilasciato una regola di rilevamento il 1° luglio e ha osservato i primi tentativi di sfruttamento in rete già il 2 luglio, registrando 71 indirizzi IP malevoli distinti e oltre 400 segnali d'attacco nei primi quattro giorni, con un picco di 127 in una sola giornata. In pratica, chi non ha aggiornato entro la prima settimana ha operato in una finestra in cui gli exploit erano già attivi.

Cosa significa per le aziende italiane

NetScaler ADC e Gateway sono l'ossatura dell'accesso remoto e del bilanciamento del traffico in moltissime organizzazioni italiane: banche, sanità, pubblica amministrazione, grandi imprese. Il punto critico qui non è l'esecuzione di codice — che non c'è — ma il tipo di dato che trapela. Una lettura di memoria che espone i token di sessione consente a un attaccante di dirottare sessioni già autenticate, scavalcando MFA e credenziali: esattamente lo scenario che rese devastante CitrixBleed nel 2023, quando gruppi ransomware lo usarono per entrare senza bussare.

Per un'organizzazione italiana ci sono due implicazioni concrete. La prima: se l'appliance è esposta e configurata come IdP SAML, va considerata potenzialmente già compromessa qualora non sia stata aggiornata subito. E applicare la patch non basta, perché le sessioni eventualmente rubate prima dell'aggiornamento restano valide. La seconda riguarda gli obblighi: un'intrusione che parte da un gateway VPN e arriva ai sistemi interni è un incidente significativo ai sensi della NIS2 per i soggetti essenziali e importanti e, se coinvolge dati personali, fa scattare la notifica al Garante entro 72 ore, oltre alla segnalazione al CSIRT Italia secondo le tempistiche previste.

Cosa fare subito

  • Aggiornare NetScaler ADC e Gateway alla versione 14.1-72.61 o successiva, oppure alla 13.1-63.18 o successiva (build FIPS e NDcPP incluse).
  • Dopo l'aggiornamento, terminare tutte le sessioni ICA e PCoIP attive (kill icaconnection -all e kill pcoipConnection -all): è l'unico modo per invalidare eventuali token già sottratti, come raccomandato ai tempi del primo CitrixBleed.
  • Verificare se l'appliance è configurata come IdP SAML: è la condizione che rende sfruttabile la falla.
  • Ridurre l'esposizione: limitare l'accesso alle interfacce di gestione ed evitare di pubblicarle inutilmente su Internet.
  • Analizzare i log alla ricerca di sessioni anomale, accessi da indirizzi IP inattesi e attività sospette successive a un login (movimenti laterali, creazione di account) nelle settimane precedenti alla patch.
  • Ruotare le credenziali e i segreti che potrebbero essere transitati in memoria.

In sintesi

CVE-2026-8451 non è la prima falla di NetScaler del 2026 e probabilmente non sarà l'ultima, ma il suo profilo — sfruttabile senza autenticazione, memoria che trapela, exploit comparsi in poche ore — la rende una priorità assoluta. Chi gestisce un NetScaler dovrebbe trattare l'aggiornamento e la chiusura delle sessioni come un intervento urgente, non come manutenzione ordinaria.