Il 3 settembre 2026 i sensori della società di vulnerability intelligence Previdian hanno registrato le prime richieste che corrispondono all'exploit pubblico per CVE-2026-19490, la falla di bypass dell'autenticazione in Citrix NetScaler ADC e NetScaler Gateway corretta il 19 agosto. È il copione già visto tre volte quest'anno con gli appliance Citrix: advisory, proof of concept pubblico, scansioni di massa nel giro di due settimane.

I fatti verificati

CVE-2026-19490 ha punteggio CVSS v4.0 9.3 e permette a un attaccante remoto e non autenticato di aggirare i controlli di autenticazione, senza interazione dell'utente e senza privilegi preesistenti. Citrix l'ha corretta con il bollettino CTX696939 del 19 agosto 2026.

Le versioni vulnerabili sono:

  • NetScaler ADC e Gateway 14.1: precedenti alla 14.1-73.32
  • NetScaler ADC e Gateway 13.1: precedenti alla 13.1-63.21
  • NetScaler ADC FIPS: precedenti alla 14.1-73.32 FIPS
  • NetScaler ADC 13.1-FIPS e 13.1-NDcPP: precedenti alla 13.1-37.277

Un dettaglio che cambia molto la valutazione del rischio: non tutti gli appliance vulnerabili sono attaccabili. L'exploit funziona se il sistema è configurato come Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) o come AAA virtual server, e — a seconda della versione firmware — se è presente una SAML Action. Citrix indica di verificare la configurazione cercando le righe add authentication samlAction, add authentication vserver e add vpn vserver: se ci sono e la versione è tra quelle sopra, l'appliance va considerato esposto.

Sullo sfruttamento la fotografia va letta con precisione. Ryan Dewhurst, fondatore di Previdian, ha dichiarato a BleepingComputer che il 3 settembre uno dei loro sensori NetScaler ha ricevuto richieste corrispondenti al proof of concept da tre indirizzi IP distinti, geolocalizzati in Australia, Stati Uniti e Germania. La sua stessa valutazione è prudente: si tratta di prove di tentativi di sfruttamento, non della conferma di compromissioni riuscite. Il 4 settembre il Centre for Cybersecurity Belgium (NCC-BE) ha emesso un avviso invitando gli amministratori a dare priorità alla patch. Citrix, alla data di pubblicazione, non ha ancora aggiornato il proprio bollettino segnalando lo sfruttamento attivo.

Shadowserver conta oltre 22.000 appliance NetScaler ADC e circa 1.700 istanze Gateway raggiungibili da internet. Quanti siano configurati in modo vulnerabile, già aggiornati o siano semplici honeypot non è noto: il numero va letto come ordine di grandezza della superficie, non come conteggio delle vittime potenziali.

Perché con Citrix la patch da sola non chiude la partita

Questo è il punto in cui la cronaca in italiano si ferma troppo presto, e per chi gestisce l'infrastruttura è quello che conta di più.

Da CitrixBleed in poi, la lezione ricorrente sugli appliance NetScaler è che un bypass di autenticazione produce sessioni valide. Se l'attaccante è entrato prima dell'aggiornamento e ha ottenuto un token o un cookie di sessione, quel token continua a funzionare dopo l'installazione della patch: la correzione chiude la porta, non espelle chi è già dentro. Le catene di attacco osservate nei casi Citrix precedenti seguono quasi sempre lo stesso schema — accesso iniziale via appliance, furto di sessione, movimento laterale verso Active Directory, esfiltrazione, e nel peggiore dei casi ransomware.

Questo spiega perché, dal novembre 2021, CISA ha inserito 23 vulnerabilità Citrix nel catalogo delle falle sfruttate in rete, e sei di queste sono state usate da gruppi ransomware. Con CVE-2026-3055, a marzo, lo sfruttamento è iniziato pochi giorni dopo la patch e CISA ha poi imposto alle agenzie federali di aggiornare entro tre giorni: una scadenza che dice bene quanto rapidamente questi appliance vengano trasformati in punti d'ingresso.

Cosa significa per le aziende italiane

NetScaler Gateway in Italia è, molto concretamente, la VPN aziendale di una fascia precisa di organizzazioni: sanità privata accreditata, gruppi industriali medio-grandi, studi professionali strutturati, pubbliche amministrazioni locali che hanno acquistato l'appliance anni fa insieme al bilanciatore. È un prodotto che sta al bordo della rete, spesso gestito da un system integrator esterno, e che nella pratica viene aggiornato con calma perché "riavviarlo significa buttare fuori tutti".

Proprio questa combinazione — dispositivo perimetrale, manutenzione delegata, finestra di fermo difficile da negoziare — è ciò che rende gli appliance di accesso remoto il vettore preferito dei gruppi di accesso iniziale. Chi rivende accessi non cerca la vittima: scansiona internet e prende chi trova.

Sul piano normativo, per i soggetti in perimetro NIS2 un gateway VPN non aggiornato con exploit pubblico disponibile è una debolezza difficile da difendere. L'art. 21 del decreto di recepimento richiede procedure documentate di gestione delle vulnerabilità e sicurezza dell'acquisizione e manutenzione dei sistemi: la delega al fornitore non trasferisce la responsabilità. E se dall'appliance si arriva a dati personali, scatta l'art. 33 GDPR con notifica al Garante entro 72 ore, mentre per i soggetti NIS2 la notifica di preallarme ad ACN va inviata entro 24 ore dalla conoscenza dell'incidente significativo. Le due scadenze corrono in parallelo e non si sostituiscono.

Cosa fare subito

  • Verificare la versione con show version dalla CLI NetScaler e confrontarla con le build corrette: 14.1-73.32, 13.1-63.21, 14.1-73.32 FIPS, 13.1-37.277.
  • Verificare se la configurazione è di quelle esposte: cercare nella configurazione le voci add authentication samlAction, add authentication vserver, add vpn vserver. In assenza di gateway o AAA vserver il rischio è sensibilmente più basso, ma la patch va comunque pianificata.
  • Aggiornare in emergenza, non nella prossima finestra di manutenzione. Il proof of concept è pubblico e le scansioni sono già in corso.
  • Dopo l'aggiornamento, invalidare tutte le sessioni attive: terminare le sessioni ICA e PCoIP e le sessioni AAA (kill icaconnection -all, kill pcoipConnection -all, kill aaa session -all) e riavviare l'appliance. È il passaggio che nel 2023 con CitrixBleed è stato saltato più spesso, con le conseguenze note.
  • Ruotare i segreti eventualmente esposti: credenziali degli account di servizio LDAP/AD configurati sull'appliance, certificati e chiavi usati per il gateway.
  • Cercare indicatori di compromissione a ritroso, non solo in avanti: sessioni provenienti da geolocalizzazioni anomale, autenticazioni riuscite senza corrispondente evento di logon sull'IdP, account che compaiono in show aaa session senza una richiesta legittima. La finestra da coprire parte dal 19 agosto.
  • Limitare l'esposizione dell'interfaccia di gestione: la NSIP non deve essere raggiungibile da internet, mai. È una misura banale che continua a mancare in un numero sorprendente di installazioni.

La regola pratica, con Citrix, resta sempre la stessa: trattare ogni bypass di autenticazione su appliance perimetrale come se la compromissione fosse già avvenuta, e cercare le prove del contrario. Aspettare l'inserimento nel catalogo KEV per muoversi significa, statisticamente, muoversi in ritardo.