Vai al contenuto
Centoculus
it

Avviso di sicurezza · Critica

Citrix NetScaler ADC e Gateway: gravi difetti di memoria consentono la negazione del servizio (CVE-2026-120868)

· 4 minuti di lettura · Centoculus Security Team

Nota dal

Interessati: NetScaler ADC e NetScaler Gateway precedenti alle versioni 14.1-73.57 e 13.1-64.39; NetScaler ADC 14.1-FIPS precedenti alla 14.1-73.58; 13.1-FIPS/13.1-NDcPP precedenti alla 13.1-37.293

Cosa è successo

Il 13 novembre 2026 Citrix ha pubblicato aggiornamenti di sicurezza per NetScaler ADC e NetScaler Gateway (avviso CTX697305). Il difetto di maggiore rilevanza è CVE-2026-120868 (CVSS 9.3). Si tratta di un overflow di memoria nell'elaborazione dei pacchetti che può causare comportamenti imprevedibili o erronei oppure una negazione del servizio (DoS). Secondo l'avviso, il difetto riguarda tutte le installazioni di NetScaler ADC e NetScaler Gateway, indipendentemente dalla loro configurazione.

Lo stesso rilascio corregge altri otto gravi difetti di memoria. Ciascuno di essi è rilevante solo se è configurata una determinata funzionalità:

  • CVE-2026-107407 (CVSS 9.3): overflow di memoria nel traffico SMPP. Riguarda i server virtuali di Load Balancing o Content Switching di tipo SMPP.
  • CVE-2026-107408 (CVSS 9.3): corruzione di memoria in DNS / DNS-over-HTTPS. Riguarda le appliance configurate per il bilanciamento del carico DNS e la risoluzione DNS ricorsiva.
  • CVE-2026-107409 (CVSS 9.3): corruzione di memoria in DNS-over-HTTPS. Riguarda il bilanciamento del carico DNS tramite HTTPS.
  • CVE-2026-107410 (CVSS 9.3): overflow di memoria in NetScaler Push. Riguarda i server virtuali di Load Balancing di tipo PUSH.
  • CVE-2026-107412 (CVSS 9.5): overflow di memoria multipli. Riguarda le appliance configurate come server virtuali Gateway o AAA.
  • CVE-2026-107415 (CVSS 9.3): overflow di memoria nell'autenticazione Email OTP. Riguarda le configurazioni con un Email Action.
  • CVE-2026-111344 (CVSS 9.3): overflow di memoria in Endpoint Analysis (EPA/EPAS). Riguarda i server virtuali VPN o AAA che utilizzano Endpoint Analysis.
  • CVE-2026-120864 (CVSS 9.3): overflow di memoria nel proxy ICA. Riguarda i server virtuali Gateway VPN, AAA o CR (tipo HDX).

Tutti questi difetti possono causare comportamenti imprevedibili o una negazione del servizio. Al momento della pubblicazione, Citrix ha dichiarato di non essere a conoscenza di exploit per queste vulnerabilità. CISA non le elenca come sfruttate.

Lo stesso giorno Citrix ha inoltre corretto tre difetti in altri prodotti, ciascuno con un proprio avviso:

  • CVE-2026-120869 (CVSS 9.4): bypass dell'autenticazione in NetScaler Console. Corretto nella versione 14.1-74.34 e successive.
  • CVE-2026-118268: escalation dei privilegi a SYSTEM in Secure Access Client per Windows. Corretto nella versione 26.11.1.6 e successive.
  • CVE-2026-118269: escalation dei privilegi a root in Secure Access Client per Linux. Corretto nella versione 26.10.4 e successive.

Chi è interessato

Lei è interessato da CVE-2026-120868 se utilizza NetScaler ADC o NetScaler Gateway precedenti a queste versioni corrette:

  • NetScaler ADC e NetScaler Gateway 14.1: corretti in 14.1-73.57 e successive
  • NetScaler ADC e NetScaler Gateway 13.1: corretti in 13.1-64.39 e successive release della 13.1
  • NetScaler ADC 14.1-FIPS: corretto in 14.1-73.58 FIPS e successive release della 14.1-FIPS
  • NetScaler ADC 13.1-FIPS e 13.1-NDcPP: corretti in 13.1-37.293 e successive release della 13.1-FIPS e 13.1-NDcPP

Gli altri otto difetti di NetScaler ADC e Gateway si applicano solo se è configurata la funzionalità indicata accanto a ciascuno di essi. CVE-2026-120868 non dipende dalla configurazione, quindi ogni appliance con versione inferiore a quelle corrette necessita dell'aggiornamento.

Non sono interessati i sistemi che non utilizzano NetScaler: server web tradizionali, server di posta o pannelli di hosting. Se utilizza solo NetScaler Console o Secure Access Client, consulti i separati avvisi Citrix per tali prodotti.

Cosa fare subito

  1. Elenchi tutte le istanze di NetScaler ADC e NetScaler Gateway, incluse le coppie HA, le istanze VPX nel cloud e le appliance che gestisce per i clienti.
  2. Esegua il backup della configurazione di ciascuna istanza (ns.conf) prima dell'aggiornamento.
  3. Aggiorni alla versione 14.1-73.57, 13.1-64.39, 14.1-73.58 FIPS o 13.1-37.293 (FIPS/NDcPP), oppure a una release successiva del proprio ramo. Nelle coppie HA, aggiorni prima il nodo secondario, esegua il failover, quindi aggiorni l'ex primario.
  4. Dopo il riavvio, verifichi che i server virtuali siano attivi e che gli accessi a Gateway, VPN e autenticazione funzionino correttamente.
  5. Se utilizza NetScaler Console, lo aggiorni alla versione 14.1-74.34 o successiva. Aggiorni le installazioni di Secure Access Client su Windows (26.11.1.6) e Linux (26.10.4).
  6. Se non può eseguire subito l'aggiornamento, limiti l'accesso alle interfacce di gestione alle sole reti attendibili e monitori le appliance per riavvii o arresti anomali imprevisti fino all'installazione dell'aggiornamento.

Come verificare se è interessato

Verifichi la build installata nell'interfaccia grafica di gestione oppure con il comando CLI show ns version. Se la build è inferiore alla versione corretta per il proprio ramo, l'appliance è vulnerabile a CVE-2026-120868. Per verificare se si applicano anche gli altri difetti, confronti la configurazione con le condizioni sopra indicate, ad esempio server virtuali SMPP o PUSH, bilanciamento del carico DNS, server virtuali Gateway/AAA, Email OTP, Endpoint Analysis o proxy ICA. L'avviso Citrix CTX697305 contiene tutti i dettagli.

Fonti

Altre fonti (2)

Altri articoli