Overflow di memoria condizionato da SAML su NetScaler — CVE-2026-88779 in KEV (scadenza 7 ottobre)
Citrix ha rivelato un difetto nei limiti del buffer di memoria in NetScaler ADC / Gateway (CVE-2026-88779, CVSS v4.0 8.7, CWE-119). Citrix afferma di aver osservato attacchi mirati contro deployment non mitigate che possono portare alla negazione di servizio. L'inserimento nel KEV della CISA stabilisce lo sfruttamento della vulnerabilità, e la descrizione breve dice che il difetto potrebbe consentire una negazione di servizio. Nessuna delle due fonti conferma che le deployment interessate siano state effettivamente interrotte. La CISA l'ha aggiunto il 4 ottobre, con scadenza federale il 7 ottobre. Insieme a CVE-2026-88771 e CVE-2026-88772 (entrambe aggiunte il 27 settembre), è la terza voce KEV di NetScaler aggiunta in due settimane, non la terza voce storica del prodotto (il catalogo contiene già voci precedenti, tra cui CVE-2023-4966). Le firme Global Deny List (v24 o successive) sono la mitigazione temporanea, e la correzione è in 14.1-73.41 / 13.1-64.28 o successivo.
Questo articolo è stato tradotto automaticamente.
Il 3 ottobre (ora legale del Pacifico), Citrix ha pubblicato CVE-2026-88779 per NetScaler ADC (precedentemente Citrix ADC) e NetScaler Gateway (precedentemente Citrix Gateway) nel bollettino di sicurezza CTX697174 e in una spiegazione per la community. È classificato come CWE-119 (Riduzione impropria delle operazioni entro i limiti di un buffer di memoria) con un punteggio base CVSS v4.0 di 8.7 (CNA: NetScaler). Il problema interessa le deployment NetScaler gestite dal cliente che utilizzano l'autenticazione SAML insieme alla funzionalità Gateway o AAA. Le versioni interessate sono ADC e Gateway 14.1 precedenti a 14.1-73.41 e 13.1 precedenti a 13.1-64.28, ADC FIPS precedenti a 14.1-73.41 FIPS, e ADC FIPS e NDcPP precedenti a 13.1-37.282 (Citrix CTX697174; NVD pubblicato il 4 ottobre 2026). Citrix afferma di aver osservato attacchi mirati contro deployment non mitigate che possono portare alla negazione di servizio. La descrizione breve del KEV della CISA dice che il difetto potrebbe consentire una negazione di servizio, e l'inserimento stabilisce lo sfruttamento della vulnerabilità. Nessuna delle due fonti conferma che le deployment interessate siano state interrotte. L'analisi di Citrix non ha identificato un impatto sull'integrità dei dati dei clienti.
CISA ha aggiunto la vulnerabilità al suo catalogo KEV il 4 ottobre, dando alle agenzie federali civili fino al 7 ottobre per rispondere (BOD 26-04, tre giorni dall'inserimento). Le note KEV richiedono l'applicazione delle mitigazioni indicate dal produttore in linea con BOD 26-04 e i requisiti di triage forense di CISA; il triage forense è segnalato come Sì e l'uso noto in campagne ransomware è Sconosciuto (CISA KEV catalog 2026.10.04, 1.734 voci totali). Citrix propone un autocontrollo della configurazione per i prerequisiti: una deployment li soddisfa se è configurata come SAML SP (add authentication samlAction) o come SAML IdP (add authentication samlIdPProfile). Le firme Global Deny List fornite da Citrix (v24 o successive) sono disponibili da 14.1-73.37 o versioni successive fino a prima di 14.1-73.41, e da 13.1-64.23 o versioni successive fino a prima di 13.1-64.28, con il virtual patching di NetScaler Console abilitato e una Encrypted Version visibile in show appfw signatures.
Analisi (tenuta separata dalla segnalazione): le due voci KEV aggiunte il 27 settembre non sono condizionate da SAML. CTX697096 dice che CVE-2026-88771 (validazione impropria dell'input che potrebbe consentire a un attaccante non autenticato di eseguire comandi arbitrari) interessa tutte le deployment di NetScaler ADC e NetScaler Gateway, inclusa la configurazione predefinita, senza alcuna funzione aggiuntiva richiesta. CTX697096 dice che CVE-2026-88772 (un overflow di memoria che può portare a esecuzione di codice remota o negazione di servizio) richiede DTLS, abilitato per impostazione predefinita su un VPN vServer. Insieme a CVE-2026-88779, aggiunta il 4 ottobre, sono tre voci KEV di NetScaler aggiunte in due settimane. Il catalogo contiene già voci NetScaler precedenti, inclusa CVE-2023-4966 (aggiunta il 18 ottobre 2023), quindi non è la terza voce storica del prodotto. Citrix non dice se queste tre condividono una causa radice. I servizi cloud gestiti da Citrix sono fuori dal bollettino per le deployment gestite dal cliente.
Implicazioni per i difensori: (1) se il tuo ambiente ha una configurazione SAML SP o IdP, verifica immediatamente la versione deployata rispetto a CTX697174 e aggiorna 14.1 a 14.1-73.41 o versioni successive, 13.1 a 13.1-64.28 o versioni successive, e FIPS / NDcPP a 14.1-73.41 FIPS / 13.1-37.282 o versioni successive; gli ambienti che hanno già aggiornato per CTX697096 (il bollettino da CVE-2026-88771 a CVE-2026-88778) hanno comunque bisogno di un altro aggiornamento se soddisfano i prerequisiti. (2) Come mitigazione temporanea fino all'aggiornamento, applica le firme Global Deny List (v24 o successive) e controlla i contatori con stat denylist global AAA_REQUEST. La procedura di verifica di Citrix dice che un valore maggiore di zero indica che le regole stanno funzionando. (3) Le note KEV impostano forensicTriage su Yes e richiedono il triage forense secondo il BOD 26-04. Per questa vulnerabilità, la precondizione di CTX697174 è un SAML SP (add authentication samlAction) o un SAML IdP (add authentication samlIdPProfile). CVE-2026-88771 e CVE-2026-88772 hanno precondizioni diverse in CTX697096.