Citrix NetScaler sotto assalto: otto vulnerabilità, due zero-day attivi e la corsa contro il tempo per le aziende italiane

L'allarme scattato sabato sera: NetScaler nel mirino

Nella tarda serata di sabato 27 settembre, CISA ha diramato un alert che ha messo in stato di massima allerta i team di sicurezza di mezzo mondo: otto vulnerabilità scoperte in Citrix NetScaler ADC e Citrix NetScaler Gateway, due delle quali — CVE-2026-88771 e CVE-2026-88772 — già inserite nel catalogo Known Exploited Vulnerabilities (KEV) perché attivamente sfruttate in the wild (Critical Zero-Day Vulnerabilities Exploited in Citrix NetScaler ADC, Gateway). Entrambe permettono l'esecuzione remota di codice (RCE) senza autenticazione, trasformando ogni appliance esposta su Internet in una porta aperta per gli attaccanti.

Non è la prima volta che NetScaler finisce sotto i riflettori — si pensi a CVE-2023-3519 — ma la portata di questo disclosure è senza precedenti: otto CVE in un unico bollettino, con conferme di sfruttamento globale. Per le aziende italiane che usano NetScaler come gateway VPN, load balancer o ingress controller per applicazioni critiche (banche, PA, sanità, manifattura), la finestra di esposizione si misura in ore, non giorni.

Il catalogo KEV accelera: una settimana, dodici nuove voci

L'aggiunta delle due falle Citrix non è un episodio isolato. Nella sola settimana dal 22 al 27 settembre, CISA ha inserito nel KEV dodici vulnerabilità attivamente sfruttate, coprendo una superficie d'attacco trasversale: (CISA Adds Four Known Exploited Vulnerabilities to Catalog) (CISA Adds Two Known Exploited Vulnerabilities to Catalog) (CISA Adds Two Known Exploited Vulnerabilities to Catalog) (CISA Adds One Known Exploited Vulnerability to Catalog) (CISA Adds Two Known Exploited Vulnerabilities to Catalog)

| Data | CVE | Prodotto | Tipo |
|------|-----|----------|------|
| 22 set | CVE-2026-85102, CVE-2026-93616 | Check Point (multi-prodotto) | Validazione certificati, Path Traversal |
| 22 set | CVE-2026-93952 | Arista VeloCloud Orchestrator | Input Validation |
| 22 set | CVE-2026-94127 | F5 BIG-IP APM | Heap Buffer Overflow |
| 24 set | CVE-2026-5430 | WSO2 (multi-prodotto) | Path Traversal |
| 24 set | CVE-2026-71362 | Adobe Commerce / Magento | Authorization Bypass |
| 25 set | CVE-2026-65660 | Microsoft SharePoint | Code Injection |
| 25 set | CVE-2026-67279 | MikroTik RouterOS | Behavioral Workflow |
| 25 set | CVE-2026-87902 | WordPress Core | Remote File Inclusion |
| 27 set | CVE-2026-88771, CVE-2026-88772 | Citrix NetScaler ADC/Gateway | RCE (Zero-day) |

Questo ritmo — quasi due KEV al giorno — riflette l'evoluzione della Binding Operational Directive 26-04, che impone alle agenzie federali USA la remediation prioritaria delle KEV su asset esposti pubblicamente, con verifiche di compromissione prima del patching. Sebbene BOD 26-04 sia vincolante solo per il Federal Civilian Executive Branch, CISA ne raccomanda l'adozione a tutte le organizzazioni come modello di risk-based vulnerability management (CISA Adds Two Known Exploited Vulnerabilities to Catalog).

Il dilemma operativo: patching complesso vs. preservazione forense

Citrix ha riconosciuto che l'aggiornamento degli appliance NetScaler può essere complesso e richiedere downtime (Critical Zero-Day Vulnerabilities Exploited in Citrix NetScaler ADC, Gateway). CISA esorta quindi a:

1. **Verificare indicatori di compromissione (IoC) prima di applicare le patch** — Citrix li mette a disposizione via NetScaler Console e nel Security Bulletin ufficiale.
2. Preservare le prove forensi — l'aggiornamento può cancellare log e artefatti necessari all'analisi post-incidente.
3. Applicare le mitigazioni temporanee dove il patching immediato non è fattibile.

Per un'azienda italiana tipica, con NetScaler in high-availability pair davanti a portali citizen-facing, sistemi di prenotazione sanitaria o remote access per dipendenti e fornitori, questo significa coordinare change window notturni, coinvolgere vendor MSP, e al contempo avviare threat hunting su log NetScaler, firewall perimetrali e SIEM. La complessità sale se l'appliance gestisce anche Gateway ICA/HDX per VDI Citrix: il downtime impatta direttamente la continuità operativa.

Oltre il perimetro: la catena di fornitura OT e il caso lwIP

Mentre l'attenzione è catalizzata dai gateway esposti su Internet, un advisory ICS-CISA del 22 settembre rivela una minaccia più sottile ma pervasiva: CVE-2026-87121 nel client MQTT dello stack lwIP (versioni 2.0.1–2.2.1), punteggio CVSS 9.8 CRITICAL (lwIP TCP/IP Stack MQTT Client Application). lwIP è uno stack TCP/IP open source embeddato in migliaia di dispositivi OT/IIoT: PLC, gateway industriali, contatori smart, building automation, dispositivi medicali. Settori critici interessati: Chemical, Communications, Critical Manufacturing, Energy, Financial Services, Healthcare, Transportation, Water.

La vulnerabilità — out-of-bounds write nel parsing MQTT — permette esecuzione di codice arbitrario da remoto, senza autenticazione. La fix richiede l'aggiornamento dello stack a livello di firmware per ogni dispositivo affected, un processo che può richiedere mesi per propagarsi lungo la supply chain vendor → integratore → asset owner. È il classico esempio di "vulnerabilità invisibile" in componenti third-party annidati in dispositivi convergenti IT/OT.

A completare il quadro OT, Siemens ha pubblicato fix per CVE-2026-89207 (DoS su interfaccia web di dispositivi WTV676/776 per settore Energy) (Siemens WTV676 and WTV776), mentre un advisory su Mendix Runtime è stato ritirato dopo riesame (Siemens Mendix Runtime (Update A)).

Il fattore umano: integratori ICS e principle of least privilege

In parallelo, FBI e CISA hanno pubblicato una fact sheet sui rischi legati agli integratori ICS di terze parti (Considerations for Critical Infrastructure Operators Working With Third-Party ICS Integrators). Il documento ribadisce che l'accesso remoto concesso a vendor e system integrator — spesso ampio, persistente e scarsamente monitorato — è un vettore primario per attacchi supply chain su infrastrutture critiche. La raccomandazione centrale: applicare rigorosamente il Principle of Least Privilege (PoLP) negli ambienti OT, limitando account, protocolli, finestre temporali e segmentazione di rete per ogni sessione di manutenzione remota.

Per le aziende italiane che gestiscono impianti Industria 4.0, reti smart grid o sistemi SCADA idrici, questo significa rivedere contratti SLA con integratori, imporre bastion host / PAM (Privileged Access Management) dedicati, e richiedere attestation di sicurezza per ogni tool portato on-site.

Implicazioni per il contesto italiano: priorità operative

Alla luce di quanto emerso negli ultimi sette giorni, tre azioni concrete per CISO e security team italiani:

**1. NetScaler: triage immediato e threat hunting pre-patch**

• Inventariare tutti gli appliance NetScaler (ADC, Gateway, SD-WAN) esposti su Internet o in DMZ.
• Scaricare IoC da NetScaler Console e Security Bulletin Citrix; lanciare query retrospettive su SIEM/EDR per post-exploitation (webshell, processi anomali, connessioni outbound inusuali).
• Se compromissione confermata: isolamento, imaging forense, incident response prima di qualsiasi reboot/patch.
• Applicare patch Citrix (versioni fisse nel bollettino) in change window concordata, testando failover HA.

2. Allineamento al modello KEV/BOD 26-04

• Integrare il KEV Catalog come primary source per la prioritizzazione patching su asset internet-facing.
• Definire SLA interni: 48h per KEV su asset esposti, 7gg per KEV su asset interni, 30gg per CVE non-KEV high/critical.
• Automatizzare asset discovery + vuln scanning + KEV cross-reference via API CISA.

**3. Mappatura componenti embedded in OT/IIoT**

• Richiedere ai vendor OT la Software Bill of Materials (SBOM) per identificare lwIP, OpenSSL, BusyBox, ecc.
• Classificare dispositivi per exploitability remota (MQTT, Modbus/TCP, OPC UA, HTTP/HTTPS su porte non standard).
• Pianificare firmware update campaign per CVE-2026-87121 coordinando con vendor/integratori, usando maintenance window programmati.

La settimana appena trascorsa dimostra che la **superficie d'attacco internet-facing delle grandi appliance enterprise (NetScaler, F5, Check Point, Arista) e la long tail dei componenti embedded in OT** sono due facce dello stesso problema: la velocità di weaponization supera ormai la capacità media di patching delle organizzazioni. Chi non ha processi KEV-driven, forensic-ready e supply-chain-aware rischia di rincorrere l'emergenza invece di governarla.