NetScaler fa 9,5 su 10. E non è un bel voto

NetScaler fa 9,5 su 10. E non è un bel voto. Il 9,5 non è un voto in pagella. È il punteggio di gravità dell'ultima vulnerabilità segnalata. Ed è solo l'ultima di una serie che, nelle ultime settimane, ha messo sotto pressione molti reparti IT.

L'8 ottobre 2026 Citrix ha infatti pubblicato un nuovo bollettino di sicurezza per NetScaler ADC e NetScaler Gateway. La vulnerabilità, identificata come CVE-2026–107406, ha ottenuto un punteggio CVSS 4.0 di 9,5 su 10. Il CVSS (Common Vulnerability Scoring System) è lo standard usato per misurare la gravità delle vulnerabilità.

Si tratta di un problema nella gestione della memoria che, in determinate condizioni, può portare all'esecuzione di codice da remoto oppure ad un'interruzione del servizio. Non tutti gli apparati sono coinvolti allo stesso modo: perché la vulnerabilità sia sfruttabile, NetScaler deve essere configurato come SAML SP o SAML IdP, con requisiti che cambiano a seconda della versione installata. Per capire se un apparato è esposto bisogna quindi controllare due cose: la versione e la configurazione effettivamente in uso.

Questo episodio arriva però a pochi giorni da un episodio molto più pesante.

Il weekend in cui NetScaler è stato spento

Venerdì 26 settembre, su un forum frequentato da amministratori Citrix, è comparsa una segnalazione insolita. Un utente raccontava che il team di sicurezza del proprio fornitore IT lo aveva contattato per consigliargli di spegnere subito gli apparati, senza fornire dettagli.

Di solito, di fronte a una vulnerabilità critica, il consiglio è aggiornare il software o applicare una mitigazione temporanea. Questa volta il messaggio era diverso: non c'era ancora una correzione disponibile e la raccomandazione era interrompere il servizio.

Il quadro si è chiarito il 27 settembre, quando Citrix ha pubblicato un bollettino relativo a otto vulnerabilità di NetScaler ADC e NetScaler Gateway. L'azienda ha confermato lo sfruttamento di due vulnerabilità, CVE-2026–88771 e CVE-2026–88772, su installazioni non aggiornate.

Le due falle hanno caratteristiche differenti:

CVE-2026–88771: consente a un attaccante non autenticato di eseguire comandi arbitrari.
CVE-2026–88772: è una vulnerabilità di overflow della memoria che può portare all'esecuzione di codice da remoto o a un'interruzione del servizio. La sfruttabilità richiede che DTLS sia attivo, condizione che si verifica per impostazione predefinita sui VPN virtual server, salvo modifiche alla configurazione.

La CISA, l'agenzia statunitense per la cybersicurezza, ha inserito entrambe nel catalogo KEV (Known Exploited Vulnerabilities), che raccoglie le vulnerabilità per le quali esistono evidenze di sfruttamento reale.

C'è un dettaglio che pesa sul lavoro dei reparti IT: gli aggiornamenti rilasciati ad agosto per correggere CVE-2026–19490 non proteggevano da queste nuove vulnerabilità. Chi aveva aggiornato regolarmente è intervenuto di nuovo e con il bollettino dell'8 ottobre è arrivato un ulteriore ciclo di aggiornamenti.

Il 2026, finora: una sequenza di vulnerabilità per NetScaler

Gli episodi di settembre non sono isolati. Nel corso del 2026, diverse vulnerabilità hanno richiesto attenzione e fatto imbiancare i pochi capelli rimasti a da parte degli amministratori IT.

Marzo: Citrix ha pubblicato aggiornamenti per CVE-2026–3055 e CVE-2026–4368.
Estate: CVE-2026–8452 ha sollevato ulteriori questioni sull'impatto tecnico del problema, anche in seguito alle analisi di ricercatori indipendenti.
Agosto e settembre: CVE-2026–19490, un bypass dell'autenticazione, è stata corretta il 19 agosto. Le ricostruzioni pubblicate da fonti indipendenti indicano un possibile sfruttamento a partire dal 3 settembre.
Fine settembre: Citrix ha confermato lo sfruttamento di CVE-2026–88771 e CVE-2026–88772.
Ottobre: è arrivata CVE-2026–107406, con un punteggio CVSS 4.0 di 9,5 su 10.

Oddio non è una novità, anche negli anni precedenti NetScaler è stato interessato da vulnerabilità rilevanti. Nel 2019 CVE-2019–19781 ha esposto gli apparati al rischio di esecuzione di codice da remoto. Nel 2023 CVE-2023–3519 è stata sfruttata in attacchi reali e, pochi mesi dopo, Citrix Bleed (CVE-2023–4966) ha consentito di sottrarre informazioni sensibili, compresi token di sessione. Nel 2025 sono arrivate CitrixBleed 2 e la vulnerabilità zero-day CVE-2025–7775.

Sono episodi differenti, con condizioni tecniche e impatti non sovrapponibili. Hanno però un elemento in comune: NetScaler si trova spesso al confine tra gli utenti, le applicazioni e la rete aziendale. Una sua compromissione in questa posizione può avere conseguenze che vanno oltre il singolo apparato.

Quanto costa davvero gestire NetScaler?

Quando si sceglie una piattaforma, il conto parte normalmente da tre voci: licenze, infrastruttura e manutenzione.

C'è però una parte del costo che si vede meno. È il tempo che il team IT dedica a verificare le vulnerabilità, controllare le configurazioni, pianificare gli aggiornamenti, testare le applicazioni e coordinarsi con chi utilizza i servizi.

In un ambiente produttivo, aggiornare un apparato raramente significa eseguire un comando e considerare concluso il lavoro. Bisogna valutare le dipendenze applicative, le ridondanze, le finestre di manutenzione e la necessità di mantenere disponibili i servizi aziendali.

Il susseguirsi di vulnerabilità e aggiornamenti urgenti rende evidente l'importanza di questi costi operativi. Ogni intervento richiede tempo, pianificazione e verifiche, con un impatto che dipende dalla complessità dell'infrastruttura.

C'è poi il problema della sicurezza dopo l'aggiornamento. Quando una vulnerabilità è stata sfruttata prima della disponibilità di una patch, installare la correzione non esclude una compromissione precedente. Può essere necessario conservare i log, analizzare le attività anomale e avviare verifiche di sicurezza o indagini forensi.

Questo non significa che NetScaler sia necessariamente la scelta sbagliata. Tutte le piattaforme possono presentare vulnerabilità. La questione è capire quale livello di rischio, complessità e costo operativo l'organizzazione è disposta ad accettare.

Aggiornare NetScaler o ripensare l'architettura?

La priorità resta verificare l'esposizione e applicare gli aggiornamenti indicati da Citrix. Una vulnerabilità critica, da sola, non giustifica una migrazione improvvisata.

Può però essere l'occasione per una valutazione più ampia, soprattutto quando gli interventi straordinari si sommano a costi di licenza in crescita, all'esigenza di semplificare l'infrastruttura o a progetti di rinnovamento già previsti.

Le domande che un IT managere dovrebbe porsi sono concrete:

La soluzione attuale risponde ancora alle esigenze dell'azienda?
I costi complessivi di gestione, oltre a quelli di licenza, sono sostenibili?
Quanto pesa sulla continuità operativa un componente che, in caso di emergenza, potrebbe dover essere spento?
Esistono alternative in grado di soddisfare gli stessi requisiti con un'architettura diversa?

La risposta richiede di valutare requisiti tecnici, applicazioni, utenti e costo complessivo nel tempo. Il prezzo della licenza è soltanto una delle variabili in gioco.

Parallels RAS può essere un'alternativa a Citrix?

Parallels RAS è una possibile alternativa per le aziende che vogliono rivedere la propria infrastruttura di pubblicazione delle applicazioni e dei desktop virtuali. Una migrazione non dovrebbe essere affrontata come una semplice sostituzione di prodotto. Occorre verificare applicazioni, profili utente, policy, metodi di accesso remoto, integrazioni e requisiti di disponibilità.

Un percorso strutturato può comprendere l'analisi dell'ambiente Citrix, una prova tecnica/PoC con un gruppo limitato di utenti, i test in rete locale e da remoto e la pianificazione del passaggio in produzione.

In Serverlab lavoriamo da anni con le tecnologie di virtualizzazione delle applicazioni e dei desktop. Affianchiamo le aziende nell'analisi delle infrastrutture esistenti e nella pianificazione delle migrazioni, tenendo conto delle applicazioni, degli utenti, della sicurezza e della continuità operativa.

Stai valutando il futuro della tua infrastruttura Citrix?

Parliamone. Possiamo aiutarti ad analizzare la soluzione attuale, individuare i punti critici e capire se conviene mantenerla, ottimizzarla o considerare un'alternativa come Parallels RAS.

L'obiettivo non è migrare a tutti i costi, ma arrivare a una scelta consapevole, sostenibile e adatta alla tua azienda.

Vai su: https://serverlab.it/