CVE-2026-19490 è una vulnerabilità critica di NetScaler ADC e NetScaler Gateway che permette di aggirare l’autenticazione in configurazioni esposte come Gateway o server virtuale AAA. Il 9 settembre 2026 la falla è entrata nel catalogo CISA Known Exploited Vulnerabilities dopo evidenze di sfruttamento reale, quindi chi gestisce un’appliance interessata deve verificare subito build e configurazione.
Il dato operativo è semplice: NetScaler 14.1 va aggiornato almeno alla build 14.1-73.32 e NetScaler 13.1 almeno alla 13.1-63.21. Per le varianti FIPS e NDcPP valgono build specifiche. Citrix indica che non esistono workaround equivalenti alla patch.
| Controllo | Dato |
|---|---|
| CVE | CVE-2026-19490 |
| Tipo | Authentication bypass tramite percorso alternativo |
| CVSS v4 | 9.3 Critical |
| Sfruttamento reale | Sì, CISA KEV dal 9 settembre 2026 |
| NetScaler 14.1 | Aggiornare a 14.1-73.32 o successiva |
| NetScaler 13.1 | Aggiornare a 13.1-63.21 o successiva |
| Workaround | Nessuno indicato dal vendor |
CVE-2026-19490: perché l’aggiornamento è urgente
Citrix ha pubblicato il bollettino di sicurezza il 19 agosto. La priorità è aumentata il 9 settembre, quando CISA ha inserito CVE-2026-19490 nel catalogo KEV. L’inserimento indica che esistono evidenze di utilizzo in attacchi reali, non soltanto la possibilità teorica di sfruttamento.
Per un’appliance che protegge accessi VPN, proxy ICA, CVPN, RDP Proxy o autenticazione AAA, un bypass dell’autenticazione è particolarmente delicato. Un attaccante remoto non autenticato può tentare di superare il controllo di accesso quando sono presenti le precondizioni descritte dal vendor.
Quali versioni NetScaler sono vulnerabili
Il bollettino ufficiale Citrix CTX696939 elenca le versioni supportate coinvolte e le build che contengono la correzione.
| Prodotto | Versione vulnerabile | Build corretta |
|---|---|---|
| NetScaler ADC / Gateway 14.1 | Prima di 14.1-73.32 | 14.1-73.32 o successiva |
| NetScaler ADC / Gateway 13.1 | Prima di 13.1-63.21 | 13.1-63.21 o successiva |
| NetScaler ADC 14.1 FIPS | Prima di 14.1-73.32 FIPS | 14.1-73.32 FIPS o successiva |
| NetScaler ADC 13.1 FIPS / NDcPP | Prima di 13.1-37.277 | 13.1-37.277 o successiva |
Sono interessati anche i deployment Secure Private Access Hybrid che utilizzano istanze NetScaler gestite dal cliente. I servizi cloud gestiti direttamente da Citrix vengono invece aggiornati dal fornitore.
Non basta avere NetScaler: servono precise precondizioni
CVE-2026-19490 non si applica nello stesso modo a ogni appliance. La configurazione deve includere un Gateway, come SSL VPN, ICA Proxy, CVPN o RDP Proxy, oppure un server virtuale AAA. Per alcune build più recenti Citrix specifica inoltre che la vulnerabilità è applicabile quando è configurata un’azione SAML.
- su 14.1-43.56 o versioni successive prima della patch, la condizione include una SAML action insieme a Gateway o AAA vserver;
- su 13.1-61.28 o versioni successive prima della patch, il bollettino indica la presenza di una SAML action;
- sulle build precedenti indicate dal vendor, la configurazione Gateway o AAA può essere sufficiente a soddisfare la precondizione;
- per 13.1 FIPS valgono le condizioni specifiche riportate nel bollettino.
Questa distinzione serve per stabilire l’esposizione, non per rimandare l’aggiornamento di una build vulnerabile. Se l’appliance rientra nelle versioni interessate, la soluzione supportata resta installare la build corretta.
Come verificare se la configurazione rientra nelle condizioni della falla
Citrix indica alcune stringhe di configurazione che gli amministratori possono cercare per capire se sono presenti componenti rilevanti. Il controllo deve essere eseguito da personale autorizzato sull’appliance.
add authentication samlActionper individuare configurazioni SAML;add authentication vserverper i server virtuali di autenticazione;add vpn vserverper i server virtuali VPN/Gateway.
Se trovi una di queste configurazioni e la build è sotto la soglia corretta, considera l’aggiornamento prioritario. Non modificare o rimuovere alla cieca configurazioni di autenticazione in produzione: il rischio operativo di interrompere gli accessi è reale e non sostituisce la patch.
Come correggere CVE-2026-19490
La correzione ufficiale è l’upgrade. Citrix indica esplicitamente che non esistono workaround o fattori mitiganti equivalenti. La sequenza operativa dovrebbe quindi essere breve e verificabile.
- identifica versione e build realmente in esecuzione;
- verifica se la configurazione soddisfa le precondizioni del bollettino;
- prepara backup e procedura di ripristino prevista dalla tua infrastruttura;
- installa almeno 14.1-73.32, 13.1-63.21 o la build FIPS/NDcPP corretta per il tuo ramo;
- completa il workflow di upgrade previsto da NetScaler;
- controlla nuovamente la build dopo l’intervento;
- rivedi log e accessi relativi al periodo in cui l’appliance vulnerabile era esposta.
Installare una patch impedisce nuovi tentativi attraverso la falla, ma non dimostra che il dispositivo non sia stato raggiunto prima dell’aggiornamento. Quando una vulnerabilità è già sfruttata, patching e verifica post-compromissione sono attività distinte.
CVE-2026-19490 è la nuova CitrixBleed?
No. Sul sito abbiamo già seguito nel 2023 CVE-2023-4966, la vulnerabilità NetScaler nota come CitrixBleed. Quel problema consentiva la divulgazione di informazioni e poteva portare al furto di token di sessione. CVE-2026-19490 è invece un bypass dell’autenticazione attraverso un percorso alternativo.
I due casi condividono prodotto e urgenza di patching, ma non vanno trattati come lo stesso exploit. Anche le verifiche post-incidente devono essere costruite sul comportamento della vulnerabilità effettivamente presente.
Cosa significa l’ingresso nel catalogo CISA KEV
Il catalogo KEV è pensato per dare priorità alle vulnerabilità con evidenza di sfruttamento reale. Abbiamo spiegato più nel dettaglio come funziona CISA e perché il catalogo KEV conta nella gestione delle patch.
Per le agenzie federali statunitensi l’inserimento comporta scadenze operative specifiche. Per aziende italiane ed europee non crea automaticamente lo stesso obbligo, ma resta un segnale di rischio concreto: la vulnerabilità non è più soltanto una possibilità teorica descritta in un bollettino.
NetScaler già aggiornato: cosa controllare dopo
- conferma che la build installata sia realmente quella corretta o una successiva;
- verifica che non siano rimaste appliance secondarie o nodi HA su build vulnerabili;
- controlla accessi e anomalie nel periodo precedente alla patch;
- rivedi configurazioni SAML, Gateway e AAA coinvolte nell’esposizione;
- se emergono indicatori sospetti, tratta il caso come possibile incidente e conserva le evidenze.
La stessa logica vale per altre piattaforme esposte a Internet. Nella guida su N-central e CVE-2026-86218 abbiamo separato la correzione tecnica dalla verifica di compromissione: aggiornare è necessario, ma dopo uno sfruttamento confermato non è sempre sufficiente per chiudere l’analisi.
Se gestisci NetScaler ADC o Gateway, il controllo da fare adesso è quindi doppio: build e configurazione. Se rientri nelle versioni vulnerabili, aggiorna alla release corretta indicata da Citrix. Con CVE-2026-19490 già nel KEV, rimandare la patch significa lasciare esposto un percorso di attacco che non è più soltanto teorico.
