Citrix NetScaler CVE-2026-19490: bypass dell'autenticazione su Gateway e AAA, dal PoC agli attacchi in un giorno

Ventiquattro ore separano la pubblicazione dell'exploit dai primi attacchi. La CVE-2026-19490 interessa Citrix NetScaler ADC e NetScaler Gateway ed è un authentication bypass classificato come CWE-288, bypass tramite percorso alternativo: invece di forzare una credenziale, l'attaccante raggiunge un percorso di autenticazione che non applica i controlli attesi dalla configurazione, instaura sessioni utente non autorizzate e accede a risorse protette senza alcuna credenziale. La condizione di vulnerabilità dipende dalla configurazione: sono interessati gli apparati impostati come server virtuale AAA oppure come Gateway nelle modalità SSL VPN, ICA Proxy, CVPN e RDP Proxy. Va segnalata una divergenza sul punteggio: ACN riporta un CVSS v3.1 pari a 9.8, mentre l'advisory del vendor e le analisi indipendenti indicano 9.3; la differenza non cambia la classe di rischio né l'urgenza dell'intervento.

La cronologia spiega perché l'alert sia arrivato a tre settimane dalla patch. Citrix ha pubblicato le correzioni il 19 e 20 agosto 2026, e già allora gli analisti prevedevano uno sfruttamento imminente vista la collocazione dei NetScaler in DMZ; il 2 settembre è comparso su GitHub un proof of concept pubblico, il 3 settembre lo sfruttamento in rete è stato confermato. La CISA ha inserito la vulnerabilità nel catalogo KEV imponendo alle agenzie federali una scadenza di remediation al 12 settembre 2026, termine già trascorso alla data di questo bollettino. Non è l'unico avviso recente sulla piattaforma: il 27 agosto ACN aveva segnalato sugli stessi apparati la CVE-2026-8452, un heap overflow nella gestione dei messaggi SAML sfruttato in rete e con prove di concetto pubbliche che dimostrano l'esecuzione di codice. Chi aggiorna dovrebbe coprire entrambe.

I NetScaler sono l'archetipo del dispositivo perimetrale ad alto rendimento per un attaccante: pubblicano applicazioni interne, terminano sessioni VPN e reggono l'autenticazione di accesso remoto, ragione per cui le falle di questa famiglia, da CitrixBleed in avanti, si traducono con regolarità in accessi iniziali rivenduti agli operatori ransomware. A doversene preoccupare è chi usa un NetScaler come Gateway o come server AAA, configurazioni che coprono la quasi totalità degli impieghi reali in ambito aziendale e nella pubblica amministrazione. Poiché l'esito dello sfruttamento è una sessione utente non autorizzata, l'aggiornamento da solo non chiude la partita: le sessioni già stabilite vanno terminate esplicitamente.

• Versioni affette: NetScaler ADC e NetScaler Gateway 14.1-x precedenti alla 14.1-73.32 e 13.1-x precedenti alla 13.1-63.21; NetScaler ADC FIPS 14.1-x precedenti alla 14.1-73.32 FIPS e 13.1-x precedenti alla 13.1-37.277; NetScaler ADC NDcPP 13.1-x precedenti alla 13.1-37.277. I dispositivi sono vulnerabili solo nelle configurazioni AAA virtual server o Gateway indicate nel bollettino del vendor.
• Azione raccomandata: aggiornare alle release correttive indicate da Citrix e, contestualmente, coprire anche la CVE-2026-8452 segnalata da ACN il 27 agosto sugli stessi apparati; terminare tutte le sessioni attive dopo l'aggiornamento, dato che lo sfruttamento produce sessioni non autorizzate che l'aggiornamento non rimuove; verificare i log di autenticazione per sessioni instaurate senza un evento di login corrispondente a partire dal 2 settembre; ricordare che per la CVE-2026-19490 la scadenza KEV era fissata al 12 settembre 2026.

Fonti: ACN, Help Net Security, Bleeping Computer, The Hacker News