Citrix NetScaler CVE-2026-88779 e CVE-2026-107406: zero-day SAML sfruttato e nuova falla critica, terzo aggiornamento in due settimane

La CVE-2026-88779, un memory overflow in Citrix NetScaler ADC e NetScaler Gateway con CVSS v4.0 pari a 8.7, è stata sfruttata come zero-day: Citrix l'ha corretta il 3 ottobre 2026 con l'advisory CTX697174, dichiarando di aver osservato attacchi mirati contro apparati non mitigati che portano al blocco del servizio, senza impatti rilevati sull'integrità dei dati. La falla riguarda solo gli apparati configurati come SAML Service Provider o Identity Provider, cioè quelli che usano NetScaler per il single sign-on. La CISA l'ha inserita nel catalogo KEV il 4 ottobre, con termine di remediation fissato al 7 ottobre. L'8 ottobre Citrix ha corretto con l'advisory CTX697191 la CVE-2026-107406, un secondo memory overflow nello stesso ambito SAML, critico, con CVSS v4.0 pari a 9.5, che può portare all'esecuzione di codice da remoto.

I primi segnali della CVE-2026-88779 erano arrivati dagli amministratori: da venerdì 2 ottobre apparati appena aggiornati per le falle di settembre si riavviavano da soli, con il processo di autenticazione nsaaad in crash. Un amministratore ha trovato nei log nomi utente costruiti per contenere comandi di shell che scaricavano ed eseguivano un payload, precisando che si trattava di tentativi e non di esecuzioni confermate; i ricercatori stanno verificando se il blocco del servizio sia davvero l'unico esito possibile. Per la CVE-2026-107406 Citrix dichiara di non essere a conoscenza di sfruttamenti, e il punto delicato è un altro: nelle configurazioni SAML IdP la falla interessa anche le build dalla 14.1-73.37 alla 14.1-73.41 e dalla 13.1-64.23 alla 13.1-64.28, cioè proprio quelle installate fra fine settembre e inizio ottobre per chiudere le CVE-2026-88771 e CVE-2026-88772 e poi la CVE-2026-88779.

Per chi amministra questi apparati è il terzo aggiornamento in due settimane, dopo quello per le due zero-day di fine settembre trattate in un nostro precedente alert del 2 ottobre. Su quelle falle il quadro si è aggravato: il 5 e il 6 ottobre ACN ha segnalato la disponibilità di prove di concetto per la CVE-2026-88771, la CVE-2026-88772 e la CVE-2026-88773, e gli apparati rimasti indietro sono oggi i più esposti. A doversene preoccupare è chi usa NetScaler ADC o Gateway gestiti in proprio con autenticazione SAML, configurazione tipica di chi integra l'accesso remoto e le applicazioni pubblicate con un identity provider federato; la verifica si fa cercando nella configurazione le direttive add authentication samlAction (Service Provider) e add authentication samlIdPProfile (Identity Provider). Il bersaglio resta lo stesso da mesi: l'apparato che sta sul perimetro e autentica tutti.

• Versioni affette: CVE-2026-88779 (sfruttata): NetScaler ADC e Gateway 14.1 precedenti alla 14.1-73.41 e 13.1 precedenti alla 13.1-64.28, ADC FIPS 14.1 precedenti alla 14.1-73.41 FIPS, ADC FIPS e NDcPP 13.1 precedenti alla 13.1-37.282, configurati come SAML SP o IdP, compresi i deployment Secure Private Access Hybrid. CVE-2026-107406: le stesse linee precedenti alla 14.1-73.46, alla 13.1-64.29, alla 14.1-73.46 FIPS e alla 13.1-37.283 se configurate come SAML IdP; le build precedenti alla 14.1-73.37, alla 13.1-64.23, alla 14.1-73.37 FIPS e alla 13.1-37.279 anche come SAML SP.
• Azione raccomandata: aggiornare direttamente alla 14.1-73.46 o alla 13.1-64.29 o successive (FIPS 14.1-73.46 FIPS; FIPS e NDcPP 13.1-37.283), che chiudono entrambe le falle e quelle di settembre; nell'attesa applicare le firme Global Deny List fornite da Citrix contro gli indirizzi malevoli noti; verificare nei log crash e riavvii anomali del processo nsaaad e richieste di autenticazione con nomi utente contenenti comandi; chi è ancora sotto la 14.1-73.37 o la 13.1-64.23 deve anche cercare le webshell e le persistenze descritte per le CVE-2026-88771 e CVE-2026-88772 prima di considerare l'apparato pulito.

Fonti: ACN, ACN AL01/261004, Citrix CTX697191, Citrix CTX697174, CISA, BleepingComputer