Analisi editoriale · Fonti primarie

Campagna NetScaler: l’aggiornamento CISA del 9 ottobre amplia l’esposizione, non l’insieme delle intrusioni confermate

Il 9 ottobre CISA ha ampliato l’avviso su NetScaler, mentre la campagna confermata risale ad attività osservata dall’inizio di settembre. I CISO devono trattare separatamente lo stato delle patch e quello della compromissione.

Incidente: 2026-09 · Divulgazione: 2026-09-27
Aggiornamento: 2026-10-11T06:12:00Z · Attendibilità: high

Fatti e date confermati

L’attività di intrusione osservata non è iniziata il 9 ottobre. Google ha segnalato lo sfruttamento di CVE-2026-88772 almeno dall’inizio di settembre, con probabili impatti in vari settori in Nord America ed Europa; Citrix ha divulgato lo sfruttamento attivo di CVE-2026-88771 e CVE-2026-88772 il 27 settembre.[2][3] CISA ha aggiornato l’avviso il 9 ottobre includendo CVE-2026-107406 e CVE-2026-88779.[1] Citrix ha pubblicato CVE-2026-88779 il 3 ottobre, ora del Pacifico, e CVE-2026-107406 l’8 ottobre.[4][5] Queste aggiunte ampliano la valutazione dell’esposizione; non provano che ogni appliance vulnerabile, né ogni CVE appena inserita, sia stata usata in un’intrusione.

Chi deve valutare l’esposizione

Le organizzazioni che gestiscono direttamente appliance NetScaler ADC o Gateway devono censire le istanze esposte a Internet, le versioni e le funzionalità abilitate. La campagna di settembre riguarda sistemi perimetrali usati per erogazione applicativa e accesso remoto; Google ha osservato web shell, persistenza e tunneling dopo lo sfruttamento.[3] Le configurazioni SAML come service provider o identity provider sono specificamente rilevanti per CVE-2026-88779 e CVE-2026-107406, quest’ultima con condizioni dipendenti dalla versione.[4][5] Citrix aggiorna i servizi cloud gestiti dal fornitore, ma le appliance gestite dal cliente e le distribuzioni ibride restano responsabilità del cliente.[5]

Impatto sulla missione e governance

Un gateway compromesso può minare la fiducia nell’autenticazione, esporre credenziali e offrire un percorso verso le reti interne; un denial of service può inoltre interrompere l’accesso remoto e la disponibilità delle applicazioni.[3][4] La governance dovrebbe quindi richiedere due risultati dimostrati separatamente: distribuzione della build corretta corrente e valutazione documentata della compromissione. Chiudere il rischio solo perché il processo di patch è riuscito lascia irrisolte persistenza ed esposizione delle credenziali.

Priorità di risposta e incognite

Aggiornate all’ultima versione raccomandata dal fornitore, non soltanto alla prima correzione di settembre, perché i bollettini successivi hanno innalzato la build richiesta.[4][5] Conservate log e configurazioni prima di modifiche distruttive; cercate gli indicatori di Citrix e Google; isolate le appliance sospette; ruotate credenziali e chiavi esposte al gateway; convalidate l’attività di identità e nei sistemi a valle.[2][3] Le fonti pubbliche non identificano tutte le vittime né stabiliscono un unico attore per ogni filone di sfruttamento. Tenete separati l’attribuzione e lo stato di sfruttamento di CVE-2026-107406 dalle intrusioni confermate di settembre.

Fonti

Francisco Javier Jurado Alonso