Citrix NetScaler, due falle già sfruttate: chi controlla la porta d'ingresso del vostro accesso remoto?

Sabato 26 settembre diversi amministratori di sistema si sono sentiti dire dai loro fornitori e consulenti di sicurezza una cosa insolita: spegnete i NetScaler. Nessuna patch disponibile, nessun dettaglio tecnico, solo l’indicazione di staccare la spina all’apparato che consente a dipendenti e collaboratori di lavorare da remoto.

Nel fine settimana il quadro si è chiarito. Citrix ha confermato due vulnerabilità critiche nei suoi prodotti NetScaler ADC e NetScaler Gateway, già sfruttate dagli attaccanti prima che esistesse un aggiornamento. In gergo si chiamano zero-day.

Cosa è successo

Secondo la ricostruzione di BleepingComputer, l’allarme è partito il 26 settembre dopo una segnalazione riservata del centro nazionale di cybersicurezza olandese (NCSC-NL) alle organizzazioni coinvolte. Lo stesso giorno la società di ricerca watchTowr ha reso pubblico l’avvertimento. Il 27 settembre Citrix ha pubblicato il bollettino di sicurezza CTX697096 con le versioni corrette, e l’agenzia statunitense CISA ha inserito entrambe le falle nel suo catalogo delle vulnerabilità sfruttate attivamente, imponendo agli enti federali di aggiornare entro il 30 settembre.

Le due falle sono identificate come CVE-2026-88771 e CVE-2026-88772, entrambe con un punteggio di gravità di 9.5 su 10.

• La prima permette a un attaccante di eseguire comandi sull’apparato senza alcuna autenticazione e senza che serva una configurazione particolare: basta che il NetScaler sia raggiungibile da Internet con una versione vulnerabile.
• La seconda sfrutta un errore nella gestione della memoria e colpisce le installazioni che usano DTLS, un protocollo che è attivo di default sui server VPN.

Le versioni interessate sono i rami 14.1 e 13.1 precedenti alle build correttive indicate da Citrix (14.1-73.37 e 13.1-64.23, oltre alle edizioni FIPS). Come sottolineato da The Hacker News, non esiste un’alternativa all’aggiornamento: nessun accorgimento di configurazione blocca l’attacco.

Perché riguarda anche le realtà più piccole

Si potrebbe pensare che Citrix sia roba da grandi aziende. In parte è vero, ma quando aiutiamo un cliente a mappare i propri sistemi scopriamo spesso che il NetScaler c’è, solo che non lo gestisce direttamente.

Succede in tre situazioni tipiche:

• l’azienda ha un’infrastruttura Citrix per il lavoro da remoto, installata anni fa da un integratore e poi “dimenticata”;
• il gestionale, il software paghe o la piattaforma documentale sono erogati da un fornitore che usa NetScaler come porta d’accesso per i clienti;
• l’ente o la scuola si collega a sistemi di un’amministrazione più grande o di un consorzio che passa da questi apparati.

In tutti questi casi il rischio è reale anche se il nome “Citrix” non compare in nessun contratto. Il NetScaler è la porta d’ingresso: chi la controlla vede passare credenziali e sessioni di chi entra, e può usarla come trampolino verso la rete interna.

Aggiornare è il primo passo, non l’ultimo

Come abbiamo visto anche con i router MikroTik pochi giorni fa, una patch chiude la porta ma non caccia chi è già entrato. E qui gli attacchi sono iniziati prima che la patch esistesse.

Citrix ha messo a disposizione indicatori di compromissione consultabili dalla console di gestione NetScaler. watchTowr però avverte, giustamente, che questi indicatori non coprono tutte le tecniche: un controllo pulito non è la prova che l’apparato non sia stato violato.

Per questo le indicazioni di CISA per chi trova segni di compromissione vanno ben oltre l’aggiornamento: isolare l’apparato, conservare le evidenze, revocare credenziali e accessi, controllare i server collegati, reinstallare con il firmware più recente e sostituire password, chiavi e certificati.

Il lato GDPR e NIS2

Un accesso remoto compromesso significa, quasi sempre, un possibile accesso a dati personali: email, documenti, anagrafiche di clienti, dipendenti, studenti o assistiti. Se emergono tracce di intrusione va valutata la violazione di dati e, se ne ricorrono i presupposti, la notifica al Garante entro 72 ore.

Per i soggetti NIS2 c’è un tema in più: la gestione delle vulnerabilità e la sicurezza della catena di fornitura sono misure esplicitamente richieste. Sapere se il proprio fornitore di servizi usa apparati vulnerabili, e quanto rapidamente li aggiorna, fa parte di quella responsabilità.

Cosa fare, in pratica

• Scoprite se avete un NetScaler, anche indiretto. Chiedete al vostro tecnico o integratore se l’accesso remoto passa da Citrix. Poi scrivete ai fornitori dei servizi critici (gestionale, paghe, documentale) chiedendo se usano NetScaler e se hanno già applicato il bollettino CTX697096.
• Aggiornate subito. Se gestite direttamente l’apparato, installate le build correttive indicate da Citrix. Se l’aggiornamento non è immediatamente possibile, valutate con il fornitore di limitare o sospendere l’esposizione su Internet finché non lo è.
• Verificate dopo l’aggiornamento. Eseguite la scansione degli indicatori di compromissione dalla console NetScaler e, in caso di dubbi, fatevi supportare da un tecnico. Ricordate che un risultato pulito riduce il rischio ma non lo azzera.
• Cambiate le credenziali che passano dall’apparato. Password degli account usati per l’accesso remoto, account amministrativi del NetScaler, certificati e chiavi: se l’apparato era esposto nei giorni degli attacchi, è una precauzione sensata.
• Documentate tutto. Annotate date, verifiche svolte e risposte dei fornitori. Servirà sia per valutare eventuali obblighi di notifica, sia per dimostrare di aver gestito la vulnerabilità in modo responsabile.

Matteo Gianniello — Consulente privacy e cyber security