Citrix NetScaler, tentativi di sfruttamento per la falla critica CVE-2026-19490

Attaccanti stanno prendendo di mira CVE-2026-19490, una vulnerabilità di autenticazione in Citrix NetScaler ADC e NetScaler Gateway. Le prime evidenze tecniche descrivono richieste costruite sul modello di un proof of concept pubblico, ma non dimostrano ancora compromissioni riuscite.

Il 3 settembre 2026, un sensore NetScaler della società di threat intelligence Previdian ha registrato traffico compatibile con il PoC proveniente da tre indirizzi IP distinti, geolocalizzati in Australia, Stati Uniti e Germania. Anche il Centre for Cybersecurity Belgium ha segnalato tentativi di sfruttamento e ha chiesto agli amministratori di accelerare gli aggiornamenti.

La distinzione è sostanziale: esiste attività ostile osservata, ma non è noto se gli aggressori siano riusciti a superare l’autenticazione su sistemi reali.

Un bypass dell’autenticazione sui servizi esposti

CVE-2026-19490 permette a un soggetto remoto non autenticato, o comunque privo di privilegi, di tentare un aggiramento dei controlli di accesso. L’effettiva esposizione dipende sia dalla versione installata sia dalla configurazione dell’appliance.

Sono coinvolti i sistemi NetScaler configurati come:

• AAA virtual server;
• Gateway SSL VPN;
• ICA Proxy;
• CVPN;
• RDP Proxy.

L’impatto può inoltre variare in presenza di una configurazione SAML Action. Non sono però disponibili dettagli tecnici sufficienti per descrivere l’intera catena di sfruttamento o stabilire quali varianti di configurazione siano più facilmente attaccabili.

NVD classifica il difetto come CWE-288 — Authentication Bypass Using an Alternate Path or Channel. In termini pratici, il software può consentire un percorso o un canale alternativo capace di evitare il normale processo di autenticazione.

Per un’appliance perimetrale, le conseguenze potenziali sono rilevanti. NetScaler può controllare sessioni VPN, accessi remoti e traffico diretto verso applicazioni interne; un bypass riuscito potrebbe quindi fornire un punto d’ingresso privilegiato nella rete aziendale.

Non risultano tuttavia confermati:

• esecuzione di codice;
• installazione di malware;
• persistenza sugli apparati;
• esfiltrazione di dati;
• attacchi ransomware;
• numero di sistemi compromessi.

Non è stata pubblicata neppure un’attribuzione a uno specifico gruppo criminale.

Versioni vulnerabili di NetScaler ADC e Gateway

Citrix ha pubblicato l’advisory relativo a CVE-2026-19490 il 19 agosto 2026. In quel momento l’avviso non indicava uno sfruttamento attivo. La situazione è cambiata dopo la comparsa online di un proof of concept giudicato credibile da Previdian.

Secondo i dati del vendor riportati da NVD, sono vulnerabili queste versioni:

Prodotto	Rami interessati
NetScaler ADC	14.1 fino alla 73.32 inclusa; 13.1 fino alla 63.21 inclusa
NetScaler Gateway	14.1 fino alla 73.32 inclusa; 13.1 fino alla 63.21 inclusa

La presenza di una versione interessata non basta, da sola, a dimostrare l’esposizione. Occorre verificare anche che l’apparato svolga una delle funzioni vulnerabili, come AAA virtual server, SSL VPN o uno dei servizi proxy indicati.

La voce NVD è stata pubblicata il 19 agosto 2026 e modificata il 1° settembre 2026. NVD non ha ancora assegnato un proprio punteggio CVSS: il valore base risulta N/A e non è disponibile un vettore associato alla valutazione NVD. La vulnerabilità viene comunque descritta come critica nelle segnalazioni sull’attività ostile.

CVE-2026-19490 non è indicata nelle informazioni disponibili come inclusa nel catalogo CISA Known Exploited Vulnerabilities. L’assenza di un inserimento KEV non annulla però le osservazioni di Previdian e dell’autorità belga: quelle rilevazioni documentano tentativi, non necessariamente sfruttamenti conclusi con successo.

Cosa mostrano i sensori e cosa resta sconosciuto

Secondo Ryan Dewhurst, fondatore e ricercatore di Previdian, le richieste osservate il 3 settembre riproducevano il comportamento del proof of concept pubblico. Le sorgenti erano tre, distribuite in altrettanti Paesi.

Gli indirizzi IP completi non sono stati resi disponibili. Di conseguenza, gli amministratori non possono trasformare le sole informazioni geografiche in indicatori affidabili da bloccare o ricercare nei log. Anche la geolocalizzazione non identifica necessariamente la posizione degli attaccanti: le richieste potrebbero provenire da server affittati, proxy o sistemi già compromessi.

Il Centre for Cybersecurity Belgium ha fornito una conferma indipendente dell’attività di targeting, senza aggiungere dettagli su vittime, infrastrutture o identità degli operatori.

Shadowserver monitora oltre 22.000 appliance NetScaler ADC e quasi 1.700 istanze NetScaler Gateway esposte online. Questi numeri misurano la superficie osservabile, non il totale dei dispositivi vulnerabili. Non è noto quanti sistemi siano honeypot, quanti abbiano già ricevuto la correzione o quanti espongano le configurazioni necessarie allo sfruttamento.

Non è quindi possibile stimare il numero di potenziali vittime partendo dai soli conteggi Internet.

Aggiornamenti e controlli da applicare subito

Gli amministratori dovrebbero censire tutte le appliance NetScaler, non soltanto quelle raggiungibili direttamente da Internet. La precedenza va comunque assegnata ai Gateway pubblici e ai sistemi configurati per VPN, accessi remoti o autenticazione centralizzata.

Le azioni raccomandate sono:

1. verificare versione, build e ruolo operativo di ogni appliance;
2. identificare i sistemi nei rami vulnerabili di ADC e Gateway;
3. consultare il bollettino Citrix associato a CVE-2026-19490;
4. installare le build correttive indicate dal vendor;
5. esaminare i log delle richieste verso AAA, VPN e servizi proxy;
6. cercare autenticazioni anomale, sessioni insolite e accessi da sorgenti esterne inattese;
7. verificare con particolare attenzione le configurazioni che utilizzano SAML Action.

I numeri esatti delle build correttive per CVE-2026-19490 non sono stati resi disponibili nelle informazioni pubblicate. Non è quindi prudente scegliere una versione di destinazione per analogia con altre vulnerabilità: deve fare fede l’advisory Citrix relativo alla falla.

Poiché non sono disponibili gli IP osservati da Previdian né altri indicatori specifici, il controllo non può limitarsi a una lista di blocco. Serve un’analisi comportamentale dei log, concentrata su richieste compatibili con il PoC, accessi riusciti inattesi e nuove sessioni provenienti da reti mai viste prima.

Il precedente di CVE-2026-3055 e le altre falle Citrix sfruttate

CVE-2026-19490 arriva dopo altre vulnerabilità NetScaler sfruttate attivamente. Tra queste figura CVE-2026-3055, un problema distinto che interessa ADC e Gateway configurati come SAML Identity Provider.

In questo caso la validazione insufficiente dell’input provoca una lettura oltre i limiti della memoria, classificata come CWE-125 — Out-of-bounds Read. La valutazione CVSS v3.1 disponibile è 9.8, con vettore:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

CVE-2026-3055 è nel catalogo CISA KEV dal 30 marzo 2026. Per le agenzie federali statunitensi, la scadenza di remediation era il 2 aprile 2026. CISA richiedeva di applicare le mitigazioni del vendor, seguire la guida pertinente della BOD 22-01 per i servizi cloud oppure interrompere l’uso del prodotto in assenza di mitigazioni.

Le versioni attribuite a CVE-2026-3055 includono diversi rami 13.1 e 14.1, comprese le varianti FIPS e NDcPP. La documentazione NVD presenta però valori discordanti per il ramo 14.1: alcune configurazioni indicano versioni precedenti alla 14.1-60.58, mentre la sezione dei prodotti interessati riporta versioni precedenti alla 14.1-66.59. Anche in questo caso occorre seguire il bollettino NetScaler e verificare la variante esatta installata.

Negli ultimi 90 giorni è entrata nel KEV anche CVE-2026-8452, associata a Citrix, inserita il 26 agosto 2026. Più in generale, dal novembre 2021 CISA ha classificato come sfruttate in-the-wild 23 vulnerabilità Citrix; sei sono state impiegate anche da gruppi ransomware.

Questo precedente non prova un coinvolgimento ransomware nell’attività contro CVE-2026-19490. Dimostra però che le appliance Citrix esposte sono bersagli ricorrenti e che l’intervallo tra divulgazione tecnica e tentativi reali può essere molto breve. Per i sistemi ancora vulnerabili, l’aggiornamento non dovrebbe attendere la conferma di una compromissione.