Il 26 agosto 2026 la CISA statunitense ha aggiunto sei vulnerabilità al catalogo KEV delle falle sfruttate attivamente. Una di queste è CVE-2026-8452, che riguarda Citrix NetScaler ADC e NetScaler Gateway. Non è una falla nuova: la patch esiste dal 30 giugno. La novità è che quello che il vendor aveva descritto come un problema di disponibilità si è rivelato una esecuzione di codice da remoto senza autenticazione, e che qualcuno la sta usando.

Per chi segue questo sito, il contesto è familiare: si tratta della stessa tornata di correzioni del 30 giugno di cui avevamo trattato la falla gemella in NetScaler, la nuova falla CVE-2026-8451 fa rivivere CitrixBleed. Questo ha una conseguenza pratica molto concreta, e la anticipiamo subito perché è la cosa più utile dell'articolo: chi a luglio ha aggiornato per CVE-2026-8451 è già protetto anche da CVE-2026-8452. Il lavoro urgente riguarda chi non l'ha fatto.

I fatti verificati

  • Divulgazione: Citrix ha pubblicato l'avviso il 30 giugno 2026, descrivendo la falla come una "vulnerabilità di memory overflow che porta a comportamento imprevedibile o erroneo e a denial of service". CVSS 8.8. L'azienda ha precisato che il difetto era emerso dalle proprie attività interne di irrobustimento del prodotto e che non aveva osservato sfruttamento.
  • Patch: rilasciata lo stesso giorno, nelle versioni 14.1-72.61, 13.1-63.18 e 13.1-37.272.
  • Configurazioni interessate: appliance configurate come Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) oppure come AAA virtual server. Un'appliance usata solo come load balancer, senza queste funzioni attive, non è esposta.
  • Natura tecnica: si tratta di un heap overflow nel codice che elabora i messaggi SAML per il single sign-on. Durante la canonicalizzazione — la riscrittura del messaggio in forma normalizzata — un campo controllato dall'attaccante chiamato PrefixList viene copiato in un buffer di dimensione fissa senza verificare che ci stia. Poiché la riscrittura avviene prima dell'autenticazione, il codice vulnerabile viene raggiunto da chiunque possa parlare con l'appliance.
  • Rivalutazione dell'impatto: i ricercatori di watchTowr Labs hanno analizzato la patch e hanno stabilito che il difetto è concatenabile fino a una esecuzione di codice completa e non autenticata, molto oltre il denial of service descritto da Citrix. Il 14 agosto hanno pubblicato l'analisi tecnica e un proof of concept funzionante.
  • Sfruttamento attivo: poco dopo la pubblicazione dell'analisi la società di threat intelligence Defused ha confermato i primi rilevamenti sui propri sensori. La società di sicurezza Previdian ha riportato attaccanti che depositano web shell denominate x.php e z.php e che eseguono comandi di ricognizione come id ed echo per mappare i sistemi compromessi, osservando inizialmente tre indirizzi IP distinti provenienti da tre paesi diversi.
  • Scadenza federale USA: 29 agosto 2026.
  • Nota: alla data di pubblicazione l'advisory ufficiale di Citrix non risulta ancora aggiornato per confermare lo sfruttamento in rete.

Il vero problema non è la falla, è la classificazione

Vale la pena fermarsi su questo punto, perché è la parte trasferibile a situazioni diverse.

Quasi tutte le organizzazioni gestiscono le patch per priorità, e la priorità la assegna in larga parte il vendor. Un avviso etichettato "denial of service" finisce in coda: il ragionamento implicito è che il caso peggiore sia un'interruzione temporanea, gestibile con un riavvio. Un avviso etichettato "remote code execution non autenticata su appliance perimetrale" salta invece la fila e giustifica una finestra di manutenzione straordinaria.

Qui la stessa identica riga di codice è stata prima una cosa e poi l'altra, senza che nulla cambiasse nel software. È cambiato solo chi l'ha guardata. E il gruppo di ricerca che l'ha riclassificata ha pubblicato anche il proof of concept, azzerando il costo di ingresso per gli attaccanti.

La conclusione operativa non è "i vendor mentono": Citrix ha corretto il difetto tempestivamente e lo ha dichiarato. La conclusione è che la classificazione di gravità di un fornitore è un'ipotesi, non un verdetto, e che le ipotesi sulle appliance perimetrali vanno trattate con un margine di sicurezza. Su un dispositivo che termina VPN e autenticazione, esposto su Internet, una corruzione di memoria pre-autenticazione va considerata potenzialmente RCE finché non è dimostrato il contrario — non il contrario.

Cosa significa per le aziende italiane

NetScaler in Italia è tecnologia da grandi organizzazioni: banche, assicurazioni, sanità regionale, grandi enti pubblici, aziende manifatturiere con desktop virtuali. Quasi sempre svolge tre funzioni contemporaneamente, ed è questo che lo rende un bersaglio: è il concentratore VPN, è il proxy verso gli ambienti Citrix Virtual Apps e Desktops, ed è il punto in cui viene fatta l'autenticazione federata. Chi lo controlla non ottiene un server: ottiene il traffico e le identità.

Il vettore di ingresso, poi, è esattamente quello che l'ACN ha indicato come dominante negli incidenti ransomware osservati sul territorio nazionale nel 2026: sfruttamento sistematico di vulnerabilità note su appliance perimetrali esposte, e compromissione di credenziali VPN. Non è una minaccia teorica importata dall'estero.

C'è infine il dettaglio che dice di più sullo stato del parco installato italiano: le altre cinque falle aggiunte al KEV lo stesso giorno sono CVE-2015-3246 e CVE-2015-5287 (Red Hat), CVE-2019-1068 (Microsoft SQL Server), CVE-2021-23758 (Ajax.NET) e CVE-2022-0995 (kernel Linux). Vulnerabilità vecchie di quattro, sette, undici anni che vengono sfruttate oggi, e che quindi oggi trovano ancora sistemi vulnerabili. Il debito tecnico non è una metafora contabile: è una superficie d'attacco che qualcuno sta misurando in questo momento.

Sul piano degli obblighi, chi rientra nel perimetro NIS2 deve poter dimostrare un processo di gestione delle vulnerabilità che comprenda la valutazione tempestiva degli avvisi e la tracciabilità delle decisioni. Una patch di fine giugno non applicata a fine agosto su un'appliance che termina VPN e autenticazione è difficile da giustificare in sede di audit, tanto più che la stessa tornata di aggiornamenti conteneva una falla già sfruttata a inizio luglio.

Cosa fare subito

  • Verificare la versione delle appliance NetScaler ADC e Gateway. Le versioni corrette sono 14.1-72.61, 13.1-63.18 e 13.1-37.272 o successive. Chi ha aggiornato per CVE-2026-8451 a luglio è già coperto.
  • Verificare la configurazione: la falla richiede che l'appliance sia configurata come Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) o come AAA virtual server. Se nessuna di queste funzioni è attiva, la priorità scende — ma va accertato, non presunto.
  • Aggiornare senza attendere la finestra ordinaria. Esiste un proof of concept pubblico e lo sfruttamento è documentato: il tempo utile è finito.
  • Cercare tracce di compromissione prima di considerare chiuso il caso. In particolare: file .php non attesi sul filesystem dell'appliance, con attenzione a nomi come x.php e z.php; esecuzione di comandi di shell nei log; account amministrativi o configurazioni comparsi senza una richiesta di modifica corrispondente.
  • Assumere che le sessioni siano compromesse se si trovano indicatori: terminare tutte le sessioni attive, ruotare le credenziali degli account amministrativi dell'appliance, i segreti usati per la federazione SAML e i certificati.
  • Rivedere il processo di triage delle patch per le appliance perimetrali: introdurre una regola per cui una corruzione di memoria raggiungibile senza autenticazione su un dispositivo esposto viene trattata come critica indipendentemente dall'impatto dichiarato dal fornitore.
  • Ridurre l'esposizione dell'interfaccia di gestione: l'accesso amministrativo a NetScaler non deve essere raggiungibile da Internet, in nessuna circostanza.

La scadenza del 29 agosto vincola formalmente solo le agenzie federali statunitensi, ma è un buon indicatore dell'urgenza tecnica. Chi ha un NetScaler esposto, configurato come Gateway e fermo a una versione precedente al 30 giugno, ha un problema aperto in questo momento.