CyberScoop ha riferito il 29 settembre 2026 che alcuni aggressori hanno sfruttato una falla nelle appliance Citrix NetScaler per almeno tre settimane prima che venisse confermata, con il primo sfruttamento noto il 3 settembre. Mandiant attribuisce la campagna ad attori avanzati e sospettati di essere sostenuti da uno Stato, e Citrix ha rilasciato domenica 28 settembre le patch per entrambe le falle e per altri sei difetti [1] [3]. I resoconti riguardano le organizzazioni, ma gli stessi gateway fanno da ingresso anche a piccoli uffici e lavoratori da remoto.
Contesto
NetScaler ADC e NetScaler Gateway sono appliance che si trovano al bordo di una rete e gestiscono accesso remoto e distribuzione del traffico, quindi per progettazione sono raggiungibili da internet. CyberScoop osserva che l’anno scorso i dispositivi di frontiera hanno rappresentato il 48 per cento degli attacchi aziendali di questo tipo e che di norma non dispongono di monitoraggio con rilevamento sugli endpoint [1]. Un ufficio che raggiunge file o applicazioni tramite una VPN NetScaler, sia che gestisca l’appliance sia che lo faccia per suo conto un fornitore, dipende dall’aggiornamento di quel dispositivo.
Risultati
Sono indicate due falle, CVE-2026-88772 e CVE-2026-88771. CyberScoop descrive la seconda come una vulnerabilità di command injection e riferisce che entrambe hanno punteggio 9,5 sulla scala CVSS e consentono l’esecuzione di codice da remoto su dispositivi NetScaler ADC e Gateway nelle configurazioni predefinite [2]. L’analisi di watchTowr su CVE-2026-88772 descrive un overflow di memoria nella gestione dei messaggi di handshake DTLS frammentati. DTLS è abilitato per impostazione predefinita sui server virtuali VPN e un amministratore deve averlo disattivato esplicitamente per evitare l’esposizione [4].
Secondo CyberScoop, GreyNoise ha osservato un tentativo di sfruttamento non riuscito il 24 settembre, e nel fine settimana sono circolati avvisi attraverso canali non ufficiali mentre Citrix taceva pubblicamente; Citrix ha pubblicato il proprio avviso domenica 28 settembre [2]. L’amministratore delegato di watchTowr, Ben Harris, è citato mentre dice che in quel periodo i clienti ricevevano avvisi attraverso canali non ufficiali [2].
Mandiant descrive una catena di attacco in cui intestazioni di record DTLS malformate causano la corruzione della memoria heap e l’esecuzione di codice con privilegi di root. Dopo di che gli aggressori stabiliscono la persistenza nella configurazione del server web dell’appliance e distribuiscono due strumenti che Mandiant chiama WHIPSHOT, una web shell PHP, e SLAPSHOT, un proxy Python usato per incanalare il traffico [3]. CyberScoop aggiunge che Charles Carmakal di Mandiant ha detto che Mandiant è a conoscenza di decine di organizzazioni colpite e si aspetta uno sfruttamento ampio e opportunistico nel breve periodo. I settori coinvolti comprendono pubblica amministrazione, servizi finanziari, istruzione, telecomunicazioni, servizi legali e professionali in Nord America ed Europa [1].
CyberScoop riferisce che Palo Alto Networks ha individuato, a domenica, più di 50.000 istanze vulnerabili esposte pubblicamente e che la CISA ha aggiunto entrambe le falle al proprio catalogo delle vulnerabilità note sfruttate. È stata la quinta voce Citrix del 2026 e la ventiseiesima dalla fine del 2021 [2].
Implicazioni per piccoli uffici e lavoratori da remoto
Il componente vulnerabile è l’appliance, non il portatile che sta dietro. Chi si collega tramite un gateway NetScaler non può applicare la patch e, dal lato client, non può sapere se sia stato aggiornato. Mandiant elenca, tra gli elementi da ruotare dopo una compromissione, le credenziali memorizzate sull’appliance o che vi transitano, tra cui account di bind LDAP, segreti condivisi RADIUS e credenziali TACACS, e consiglia di verificare l’infrastruttura a valle, come gli host StoreFront e Virtual Apps [3]. Per un piccolo ufficio, questo si traduce in domande per chi gestisce il gateway.
Raccomandazioni
- Chiedere a chi gestisce il gateway, il fornitore IT o il reparto IT del datore di lavoro, se usa NetScaler e quale build. Le build corrette indicate da Mandiant e watchTowr sono 14.1-73.37 e 13.1-64.23 o successive, comprese le varianti FIPS [3] [4].
- Dove l’applicazione della patch è in ritardo, Mandiant elenca controlli compensativi: disattivare DTLS dove possibile, bloccare a monte l’UDP 443 in ingresso e consentire sul firewall perimetrale solo gli indirizzi di origine autorizzati [3].
- Dopo una sospetta compromissione, revocare le sessioni attive di amministrazione e VPN e ruotare le credenziali e le chiavi SSH dell’appliance [3].
- Considerare potenzialmente esposte le password usate tramite il gateway dall’inizio di settembre, se chi lo gestisce non può confermare che l’appliance sia pulita, e cambiarle [3].
- Non fare affidamento sull’assenza di allarmi. La campagna è andata avanti per almeno tre settimane prima di essere confermata [1].
Rilevanza per FireAI
FireAI gira su un Mac. Non applica patch, non analizza né monitora un’appliance NetScaler, non può vedere il traffico verso il gateway o al suo interno oltre a ciò che il Mac stesso invia e non rileva un’intrusione su un dispositivo di rete. Ciò che fa è locale. Attività e cronologia delle connessioni mostra quale app si è connessa a quale server, quindi un’app inattesa che contatta una nuova destinazione è visibile. Le regole possono consentire al client VPN di raggiungere il gateway dell’ufficio e nient’altro. Se qualcuno sospetta che un account usato da un Mac sia stato esposto, il kill switch rifiuta le nuove connessioni al di fuori della rete di casa o dell’ufficio, anche se non chiude quelle già aperte.
Limiti
I due articoli di CyberScoop sono fonti secondarie e i dettagli che differiscono tra loro, come la data esatta in cui gli attacchi sono stati confermati, non sono stati riconciliati. La cifra di 50.000 istanze esposte attribuita a Palo Alto Networks è citata da CyberScoop; il rapporto di Unit 42 in sé non è stato possibile consultarlo per questo articolo. Le fonti non dicono quanti piccoli uffici siano colpiti, se qualche vittima usasse un Mac né chi siano gli attori oltre alla descrizione di Mandiant. La cifra del 48 per cento si riferisce agli attacchi aziendali di questo tipo dell’anno precedente, come indicato da CyberScoop, e non è stata confrontata con lo studio di origine.
Prova FireAI, di HisnLabs gratis per 17 giorni.