Il catalogo delle vulnerabilità sfruttate note (Known Exploited Vulnerabilities) della CISA include un'ulteriore vulnerabilità di Citrix NetScaler, dopo i presunti attacchi zero-day di settembre. L'agenzia ha aggiunto la vulnerabilità CVE-2026-88779 il 4 ottobre, descrivendo un difetto nel buffer di memoria di NetScaler ADC e NetScaler Gateway che potrebbe causare un attacco di denial of service.
La voce segue la vulnerabilità CVE-2026-88771, che la CISA ha aggiunto il 27 settembre. L'agenzia la descrive come una convalida impropria dell'input che potrebbe consentire a un attaccante non autenticato di eseguire comandi arbitrari. Entrambe compaiono nella versione del catalogo del 26 ottobre, che stabilisce come la CISA le riconosca come vulnerabilità sfruttate, distinguendone però i possibili effetti.
Secondo l'articolo di SecurityWeek, aggressori non identificati hanno iniziato a sfruttare falle NetScaler non ancora divulgate intorno alla metà di settembre. Analisti della minaccia del governo olandese e incident responder privati hanno rilevato traffico sospetto, mentre rivenditori e avvisi di sicurezza hanno esortato gli amministratori a limitare o disconnettere le installazioni esposte a internet nel fine settimana del 26 settembre. SecurityWeek riferisce che Citrix ha rilasciato patch quella domenica per le vulnerabilità tracciate da CVE-2026-88771 a CVE-2026-88778.
NetScaler unisce funzioni come reverse proxy, bilanciamento del carico, protezione tramite web application firewall e accesso SSL VPN. La sua posizione al perimetro della rete rende rilevante la differenza tra esecuzione di comandi e interruzione del servizio: le due voci del catalogo descrivono capacità diverse e non vanno trattate come intercambiabili.
Per la CVE-2026-88771, la CISA richiede esplicitamente un'analisi forense (forensic triage) secondo le indicazioni del BOD 26-04, insieme alle mitigazioni indicate dal fornitore. Le note affermano che eseguire nella console NetScaler gli indicatori di compromissione forniti può aiutare a identificare lo sfruttamento. La voce relativa alla CVE-2026-88779 riporta «No» per l'analisi forense e indica comunque di applicare le mitigazioni del fornitore. Le scadenze per il rimedio erano, rispettivamente, il 30 settembre e il 7 ottobre.
SecurityWeek ha ipotizzato che gli identificativi CVE sequenziali non ancora pubblicati possano segnalare ulteriori avvisi. La voce datata della CISA stabilisce che la CVE-2026-88779 è stata successivamente inserita come sfruttata, ma non chiarisce lo stato degli altri identificativi. Il catalogo registra come sconosciuto l'uso in campagne ransomware per entrambe le vulnerabilità elencate.
