Venerdì 14 agosto i ricercatori di sicurezza hanno dichiarato di avere trasformato una falla di corruzione della memoria, accessibile senza autenticazione nei sistemi NetScaler ADC e NetScaler Gateway gestiti dai clienti, in esecuzione remota di codice con privilegi root. Il gruppo watchTowr Labs ritiene che sia CVE-2026-8452, però sottolinea che l'attribuzione è ancora provvisoria, perché il fornitore ha riunito più correzioni in un unico bollettino senza collegare ciascun ricercatore a una vulnerabilità precisa. La prova di laboratorio mostra perciò un impatto più grave della semplice interruzione del servizio descritta inizialmente.
Il bollettino di Cloud Software Group del 30 giugno classifica CVE-2026-8452 come vulnerabilità di gravità elevata, con punteggio CVSS 4.0 pari a 8,8. Descrive un overflow di memoria che può causare attività errate o indisponibilità quando l'apparato è configurato come Gateway, compresi SSL VPN, ICA Proxy, CVPN o RDP Proxy, oppure come server virtuale AAA. Sono coinvolte le versioni NetScaler ADC e Gateway 14.1 precedenti alla 14.1-72.61 e 13.1 precedenti alla 13.1-63.18, oltre a specifiche edizioni FIPS e NDcPP.
WatchTowr ha esaminato un sistema NetScaler 13.1 vulnerabile con SAML e ha raggiunto la probabile falla prima dell'autenticazione, sia con SAML come fornitore di servizi sia come fornitore d'identità. Durante l'elaborazione di un messaggio SAML firmato, il contenuto controllato dall'aggressore nella sezione SignedInfo poteva superare un buffer di dimensione fissa. L'overflow alterava la memoria vicina del motore dei pacchetti e i ricercatori hanno trasformato questa corruzione nella possibilità di scrivere dati scelti in una posizione di memoria scelta.
Il team ha poi deviato un puntatore di funzione verso codice collocato in memoria eseguibile. È riuscito anche a superare il riavvio automatico dell'apparato, così un'interfaccia dannosa è rimasta disponibile dopo la ripartenza del motore dei pacchetti, e ha infine dimostrato comandi con privilegi root. WatchTowr non ha pubblicato la build esatta utilizzata per sviluppare l'attacco. Il rapporto non offre però prove di sfruttamento reale da parte di criminali: è una dimostrazione dell'impatto possibile, non la conferma di una campagna già attiva.
La scoperta è importante poiché i Gateway NetScaler sono spesso già collocati al confine delle reti aziendali e gestiscono autenticazione, accesso remoto, bilanciamento del carico e traffico cifrato. Un percorso verso il controllo root prima dell'accesso può offrire un ingresso molto potente senza rubare una password. Però l'attribuzione provvisoria del CVE e le condizioni SAML della prova differiscono da alcuni prerequisiti pubblicati dal fornitore; la realtà dimostrata non è quindi ancora una rivalutazione ufficiale di CVE-2026-8452.
Cloud Software Group invita a installare NetScaler ADC e Gateway 14.1-72.61 o più recenti, oppure 13.1-63.18 o più recenti, insieme alle corrispondenti build FIPS e NDcPP corrette quando necessario. L'avviso riguarda i sistemi gestiti dai clienti; la società afferma che i servizi cloud amministrati da Citrix sono già aggiornati, mentre le installazioni Secure Private Access Hybrid con istanze NetScaler richiedono ancora l'attività del cliente. Gli amministratori dovranno verificare Gateway e server virtuali di autenticazione esposti, applicare subito gli aggiornamenti e seguire ogni futura revisione dell'attribuzione o della gravità.
Commenti