Citrix ha pubblicato l'8 ottobre 2026 un bollettino per CVE-2026-107406, un overflow di memoria in NetScaler ADC e NetScaler Gateway con punteggio CVSS v4.0 9,5 che può portare a esecuzione di codice da remoto o a denial of service. A differenza delle falle di settembre, per ora non risultano exploit noti: è una finestra di patching preventivo, e va usata prima che qualcuno costruisca un exploit a partire dalla patch.

I fatti verificati

Il bollettino ufficiale (CTX697191) classifica la falla come CWE-119, errata gestione dei limiti di un buffer in memoria. Citrix dichiara di «non essere a conoscenza di exploit non mitigati», e BleepingComputer e SecurityWeek riportano che non ci sono evidenze di sfruttamento reale. Il bollettino, pur non contenendo un'affermazione esplicita sullo sfruttamento, non elenca alcuna mitigazione alternativa: l'unica azione indicata è aggiornare.

La falla non riguarda tutte le istanze, ma solo quelle configurate come SAML Service Provider (SP) o SAML Identity Provider (IdP):

  • come IdP o SP sono interessate tutte le versioni precedenti a 14.1-73.37, 13.1-64.23 (e le equivalenti FIPS/NDcPP precedenti a 13.1-37.279);
  • come solo IdP sono interessati anche gli intervalli 14.1-73.37 fino a 14.1-73.41 e 13.1-64.23 fino a 13.1-64.28 (con le relative FIPS);
  • sono interessate anche le distribuzioni Secure Private Access Hybrid che usano NetScaler.

Le versioni corrette sono 14.1-73.46 e successive, 13.1-64.29 e successive, 14.1-73.46 FIPS e successive, e 13.1-37.283 per 13.1-FIPS e 13.1-NDcPP. I servizi cloud gestiti da Cloud Software Group e Adaptive Authentication sono aggiornati direttamente da Citrix.

Per verificare se un'appliance è esposta basta cercare nella configurazione le righe add authentication samlAction (SP) oppure add authentication samlIdPProfile (IdP). Shadowserver conta oltre 21.000 indirizzi IP NetScaler esposti su Internet (circa 1.500 Gateway e quasi 20.000 ADC), senza poter dire quanti siano vulnerabili, già aggiornati o honeypot.

Perché non è «una delle tante»

Il contesto conta più del singolo CVE. Nel 2026 NetScaler ha avuto una sequenza ravvicinata: a marzo CVE-2026-3055 e CVE-2026-4368, a settembre le due zero-day RCE CVE-2026-88771 e CVE-2026-88772, di cui avevamo scritto il 27 settembre e poi l'aggiornamento del 3 ottobre, e all'inizio di ottobre la zero-day di denial of service CVE-2026-88779. Secondo BleepingComputer, CISA ha inserito nel catalogo KEV 27 vulnerabilità Citrix sfruttate dal novembre 2021, sette delle quali usate in attacchi ransomware.

Una nostra osservazione sul tempo: nel marzo scorso, ricorda la stessa fonte, Citrix aveva invitato a patchare due falle pochi giorni prima che gli attaccanti iniziassero a sfruttarle. La storia di questo prodotto suggerisce che l'intervallo tra bollettino e sfruttamento non va dato per scontato: la prudenza è trattare «non sfruttata oggi» come «da correggere questa settimana».

Cosa significa per le aziende italiane

NetScaler è molto diffuso come gateway VPN e di accesso remoto in medie e grandi aziende, enti sanitari, pubblica amministrazione locale e fornitori di servizi gestiti. Il punto critico dell'analisi italiana è l'uso di SAML: molte organizzazioni lo configurano proprio per federare l'accesso a Microsoft 365 o ad altre applicazioni, e quindi la condizione di esposizione è meno rara di quanto sembri. Chi ha un NetScaler, ed è già stato coinvolto nelle zero-day di settembre, ha due problemi distinti: questa patch e la verifica che non ci siano compromissioni pregresse, perché aggiornare non rimuove una backdoor già installata.

Un secondo elemento è la gestione da parte di terzi: in Italia molti NetScaler sono amministrati da un fornitore MSP. Il contratto dovrebbe chiarire chi risponde della tempestività dell'aggiornamento e entro quanti giorni.

Sul piano normativo, per i soggetti NIS2 la gestione delle vulnerabilità e l'applicazione tempestiva delle patch sono misure di base previste dal D.Lgs. 138/2024. Un gateway di accesso remoto esposto e non aggiornato, dopo un bollettino critico pubblico, è difficile da giustificare davanti ad ACN in caso di incidente. In caso di compromissione con dati personali coinvolti, restano gli obblighi di notifica al Garante entro 72 ore (art. 33 GDPR) e, per i soggetti NIS2, la notifica di incidente significativo al CSIRT Italia.

Cosa fare subito

  • Individuare tutte le istanze NetScaler (ADC, Gateway, Secure Private Access Hybrid), comprese quelle gestite da fornitori o dimenticate in ambienti di test.
  • Verificare la configurazione SAML cercando add authentication samlAction e add authentication samlIdPProfile; in caso di dubbio, considerare l'appliance vulnerabile.
  • Aggiornare a 14.1-73.46, 13.1-64.29 o alla build FIPS/NDcPP 13.1-37.283 o successive, pianificando una finestra di manutenzione a breve.
  • Non esporre l'interfaccia di gestione su Internet e limitare gli accessi amministrativi a reti dedicate.
  • Se l'appliance era esposta a settembre, cercare indicatori di compromissione legati a CVE-2026-88771 e CVE-2026-88772 (web shell, nuovi account, credenziali rubate) e, se ci sono segnali, ruotare credenziali e certificati.
  • Monitorare gli annunci su sfruttamento attivo e l'eventuale inserimento nel catalogo KEV di CISA per riadattare le priorità.