Il 9 settembre 2026 l’agenzia di sicurezza informatica statunitense CISA ha aggiunto un difetto di autenticazione-bypass critico in Citrix NetScaler al suo noto catalogo di vulnerabilità sfruttate (KEV), dando agenzie federali solo fino al 12 settembre per patch.
Perché il difetto è pericoloso
Tracciato come CVE-2026-19490, la vulnerabilità è classificata come “Authentication Bypass Utilizzando un percorso alternativo o canale” (CWE-288) e trasporta un CVSS 4.0 punteggio di 9.3. Non sono necessarie credenziali: un aggressore remoto non autorizzato può affiancare il processo di login e raggiungere funzionalità che normalmente richiedono un accesso valido. Il bug colpisce NetScaler ADC e Gateway elettrodomestici configurati come un server virtuale AAA o Gateway — le tipiche implementazioni SSL VPN, ICA Proxy, CVPN e RDP Proxy che si trovano sul bordo della rete.
Sfruttamento attivo dopo il PoC pubblico
Una prova di lavoro del concetto circolava pubblicamente all’inizio di settembre. I ricercatori hanno registrato decine di tentativi di sfruttamento contro i sistemi a nido d’ape tra il 3 e l’8 settembre. Aggiungendo il CVE a KEV il 9 settembre, CISA ha confermato l’attività di attacco nel mondo reale e ha fissato una scadenza di risanamento del 12 settembre ai sensi della direttiva BOD 26-04.
Versioni interessate e la correzione
Le versioni Vulnerable includono 14.1 uscite prima di 14.1-73.32 e 13.1 uscite prima del 13.1-63.21, con le versioni fisse separate per le edizioni FIPS e NDcPP. Citrix ha spedito gli aggiornamenti il 19 agosto 2026. Gli amministratori devono patchare immediatamente gli apparecchi di Internet e, data l’avvertimento KEV, cercare segni di compromesso.
Fonte: CISA – Catalogo di vulnerabilità ampliato noto (9 set 2026)
