CVE-2026-88773: HTTP Smuggling su NetScaler ADC

HTTP Request Smuggling critica in NetScaler ADC e Gateway. CVSS 10,0. Aggiorna versioni interessate.

CVE-2026-88773 è una vulnerabilità di interpretazione incoerente di richieste HTTP nel componente NetScaler di Citrix, che gestisce il traffico di accesso e gateway verso le infrastrutture aziendali. L'errore nel componente nsppe (NetScaler packet processing engine) comporta un accumulo non corretto di chunk-size a 32 bit, consentendo di bypassare controlli di sicurezza e proxy tramite HTTP Request Smuggling. Questo colpisce direttamente ADC (Application Delivery Controller) e Gateway, sistemi critici per la sicurezza perimetrale delle aziende.

La vulnerabilità raggiunge il punteggio massimo di CVSS 10,0 ed è classificata critical dalle autorità. Sebbene annunciata il 27 settembre 2026 dal NIST, a partire da novembre 2026 compaiono segnali pubblici su GitHub di repository che dichiarano di contenere exploit funzionanti. Questa combinazione di punteggio massimo e disponibilità dichiarata di codice di attacco indica un rischio imminente di sfruttamento attivo nel panorama di minacce reale.

Gli amministratori di sistema devono immediatamente inventariare tutte le istanze di NetScaler ADC e Gateway in uso, verificare i numeri di versione specifici e prioritizzare l'upgrade alle versioni indicate come fix. Non è riportato un workaround alternativo alla patch: l'aggiornamento è l'unica mitigazione definitiva. Nel breve termine, abilitare verbose logging per richieste HTTP malformate, monitorare i log di accesso per anomalie di smuggling, e considerare regole WAF aggiuntive per bloccare chunk-size sospetti fino al completamento del patching.

In sintesi

Cosa: Vulnerabilità di interpretazione incoerente di richieste HTTP (HTTP Request/Response smuggling) in Citrix NetScaler ADC e NetScaler Gateway. CVE-2026-88773 colpisce il componente nsppe responsabile dell'elaborazione del traffico di accesso e gateway verso infrastrutture critiche aziendali.
Gravità: CVSS 10,0 (massima). Classificata come critical dalla fonte ufficiale NIST.
Versioni interessate: ADC: 14.1 prima di 73.37, 13.1 prima di 64.23, 14.1-73.37 FIPS, 13.1 prima di 37.279. Gateway: 14.1-73.37 FIPS, 13.1 prima di 64.23.
Correzione: Aggiornare a: ADC 14.1-73.37 o successive, ADC 13.1-64.23 o successive, ADC 13.1-37.279 o successive; Gateway 14.1-73.37 FIPS, Gateway 13.1-64.23 o successive.
Stato: Pubblicata il 2026-09-27 su NVD. A partire dal 2026-11-01, repository GitHub pubblici dichiarano di contenere implementazioni di exploit per questa vulnerabilità.
Azione: Inventariare istanze NetScaler ADC e Gateway. Verificare versioni correnti. Pianificare patch d'emergenza. Abilitare verbose logging per richieste HTTP malformate. Applicare regole WAF specifiche per chunk-size sospetti fino alla patch.

Fonti: NVD, CVE-2026-88773

← Tutti gli articoli