CVE-2026-88771: RCE critica su Citrix NetScaler

RCE critica (CVSS 9,8) in Citrix NetScaler ADC e Gateway per validazione input insufficiente. Patch disponibili.

La vulnerabilità CVE-2026-88771 è una falla di validazione input insufficiente in Citrix NetScaler ADC e Citrix NetScaler Gateway che consente a utenti non autenticati di eseguire comandi arbitrari con privilegi di sistema. Colpisce direttamente le appliance critiche che gestiscono accesso remoto e bilanciamento di carico in migliaia di aziende a livello globale, rappresentando un rischio di compromissione totale dell'infrastruttura di rete.

Il punteggio CVSS è 9,8 critical, con impatto massimo su confidenzialità, integrità e disponibilità. La vulnerabilità è stata pubblicata al NVD il 27 settembre 2026. Patch ufficiali sono disponibili da Citrix per le versioni specificate. Testi non verificati su social media descrivono questa falla come tra le più sfruttate attualmente, segnale che amplifica l'urgenza di risposta, benché non sia dato ufficiale verificato.

Priorità assoluta per sysadmin e team infrastruttura: eseguire inventario completo di NetScaler in esercizio, verificare versioni rispetto ai boletini Citrix, aggiornare immediatamente a build patchate, implementare monitoraggio su tentativi di accesso non autenticati ai servizi amministrativi. Il CVSS 9,8 con RCE unauthenticated non ammette ritardi: ogni ora di inazione espone completamente la rete a compromissione.

In sintesi

Cosa: Validazione input insufficiente in Citrix NetScaler ADC e NetScaler Gateway consente esecuzione di comandi arbitrari (RCE) a utente non autenticato tramite CVE-2026-88771.
Gravità: CVSS 9,8 critical. Attaccante non autenticato può eseguire comandi arbitrari con privilegi di sistema direttamente su appliance critiche.
Versioni interessate: ADC: prima di 14.1-73.37, prima di 13.1-64.23, prima di 14.1-73.37 FIPS, prima di 13.1.37.279 FIPS e NDcPP. Gateway: prima di 14.1-73.37 e prima di 13.1-64.23.
Correzione: Aggiorna a versioni patchate indicate: ADC 14.1-73.37 o successive, 13.1-64.23 o successive, 14.1-73.37 FIPS, 13.1.37.279 FIPS. Gateway 14.1-73.37 o 13.1-64.23 o successive.
Stato: Pubblicato NVD il 27 settembre 2026. Patch ufficiali disponibili da Citrix. Post NON_VERIFICATO su X descrivono la falla come tra le più sfruttate questa settimana.
Azione: Inventario immediato di tutti i NetScaler in produzione con versioni. Pianifica upgrade prioritario. Monitora accessi non autenticati a interfacce amministrative e API.

Fonti: NVD, CVE-2026-88771

← Tutti gli articoli