NetScaler, bypass dell’autenticazione critico: Citrix chiede patch immediate

La falla consente di aggirare l’autenticazione

Citrix ha rilasciato aggiornamenti per due vulnerabilità in NetScaler ADC e NetScaler Gateway. La più grave è CVE-2026-19490, un difetto di bypass dell’autenticazione classificato critico con punteggio CVSS 9.3.

Il problema consente a un attaccante di eludere i controlli di autenticazione sfruttando un percorso alternativo. Secondo la valutazione di Rapid7, l’attacco può essere condotto da remoto, senza credenziali e senza alcuna interazione da parte dell’utente.

La vulnerabilità riguarda appliance NetScaler configurati per fornire:

• SSL VPN;
• ICA Proxy;
• CVPN;
• RDP Proxy;
• server virtuali AAA.

Il rischio deriva soprattutto dal ruolo di questi dispositivi. NetScaler ADC e NetScaler Gateway sono spesso posizionati sul perimetro della rete o all’interno di DMZ, con interfacce raggiungibili da Internet. Un bypass su questa superficie può esporre servizi e risorse normalmente protetti dall’autenticazione.

Quali prodotti e versioni sono interessati

L’avviso Citrix indica come coinvolte le seguenti versioni di NetScaler ADC e NetScaler Gateway:

• 14.1-43.56 o successive;
• 14.1-66.68-FIPS o successive;
• 14.1-43.55 o precedenti;
• 13.1-61.28 o successive;
• 13.1-61.27 o precedenti;
• 13.1 FIPS.

Le build che includono la correzione per CVE-2026-19490 sono:

• 14.1-73.32;
• 13.1-63.21;
• 14.1-73.32 FIPS;
• 13.1-FIPS;
• 13.1-NDcPP 13.1-37.277.

Gli amministratori devono verificare con precisione sia la release installata sia il ramo di supporto utilizzato. La presenza di una versione FIPS o NDcPP richiede particolare attenzione, perché gli aggiornamenti corretti non coincidono sempre con quelli delle installazioni standard.

Non è sufficiente controllare soltanto la versione principale. Va verificata la build completa riportata dall’appliance e va confermato che l’aggiornamento sia effettivamente applicabile alla configurazione in uso.

Anche SIP ALG può causare un denial-of-service

Le stesse build risolvono CVE-2026-19489, una vulnerabilità ad alta gravità legata a un memory overflow. Il difetto può produrre comportamenti imprevisti o provocare una condizione di denial-of-service quando SIP ALG è abilitato all’interno della configurazione di un gruppo LSN.

Per questa vulnerabilità non è stato fornito un punteggio CVSS.

Il requisito tecnico legato a SIP ALG restringe lo scenario rispetto al bypass dell’autenticazione, ma non elimina il problema operativo. Un arresto o un comportamento anomalo dell’appliance può interrompere servizi pubblicati, accessi remoti e flussi applicativi che dipendono da NetScaler.

Sono inoltre coinvolti gli ambienti Secure Private Access Hybrid che utilizzano istanze NetScaler. Citrix richiede di aggiornare anche questi sistemi alle build raccomandate, senza limitarne la verifica agli appliance esposti direttamente su Internet.

Perché il rischio è elevato anche senza exploit osservati

Rapid7 non ha rilevato indicatori di sfruttamento attivo di CVE-2026-19490. L’assenza di evidenze, però, non riduce la necessità di intervenire rapidamente.

Gli appliance NetScaler sono obiettivi interessanti perché:

• sono spesso accessibili pubblicamente;
• concentrano funzioni di accesso remoto e pubblicazione applicativa;
• possono proteggere numerosi servizi con un singolo punto di autenticazione;
• sono presenti in reti aziendali di grandi dimensioni.

Rapid7 considera probabile un tentativo di sfruttamento a breve. La combinazione tra esposizione Internet, valore strategico e natura del difetto rende il tempo di aggiornamento un fattore decisivo.

Non è noto se CVE-2026-19490 sia inserita nel catalogo Known Exploited Vulnerabilities (KEV) della CISA, né è indicata una scadenza CISA per la mitigazione. Non è inoltre noto se Citrix abbia altre vulnerabilità recenti nel catalogo KEV rilevanti per questa serie di prodotti.

Cosa devono verificare gli amministratori

La raccomandazione è applicare le patch con priorità di emergenza a tutti i sistemi interessati. L’attività dovrebbe comprendere anche le istanze usate da Secure Private Access Hybrid.

Prima dell’aggiornamento conviene:

1. censire tutti gli appliance NetScaler ADC e Gateway;
2. controllare la build completa, incluse varianti FIPS e NDcPP;
3. individuare i sistemi configurati come SSL VPN, ICA Proxy, CVPN o RDP Proxy;
4. verificare i server virtuali AAA;
5. identificare le interfacce esposte direttamente o indirettamente a Internet;
6. controllare i gruppi LSN e l’eventuale abilitazione di SIP ALG.

Dopo l’installazione delle build corrette, è opportuno verificare che i servizi di accesso remoto funzionino regolarmente e che la configurazione non sia stata modificata durante l’intervento.

L’aggiornamento non sostituisce l’attività di ricerca retrospettiva. I team di sicurezza dovrebbero esaminare i log alla ricerca di:

• accessi riusciti senza una corrispondente autenticazione attesa;
• autenticazioni anomale o ripetutamente fallite;
• connessioni provenienti da indirizzi insoliti;
• utilizzo inatteso di VPN, proxy o server virtuali AAA;
• riavvii, errori o comportamenti anomali dell’appliance;
• richieste verso interfacce amministrative o servizi normalmente non utilizzati.

Gli indicatori disponibili non dimostrano uno sfruttamento in corso. Per questo è necessario correlare i log NetScaler con quelli di VPN, firewall, sistemi di identità e applicazioni pubblicate.

La priorità è ridurre l’esposizione, non attendere nuove conferme

Chi non può aggiornare immediatamente dovrebbe ridurre, per quanto possibile, l’esposizione delle interfacce NetScaler e limitare l’accesso alle funzioni di amministrazione tramite reti autorizzate. Il brief non indica un workaround specifico fornito da Citrix per CVE-2026-19490 o CVE-2026-19489.

Le misure temporanee non devono essere considerate sostitutive della patch. Un appliance vulnerabile usato come gateway remoto può offrire a un attaccante non autenticato un punto d’ingresso diretto verso risorse aziendali protette. L’intervento corretto consiste quindi nell’aggiornare alla build prevista, verificare le configurazioni e controllare gli eventi registrati prima e dopo la correzione.