NetScaler già violata, TeamViewer e Cisco aprono un nuovo fronte remoto

🛡️ Executive Summary

• NetScaler CVE-2026-88771 e CVE-2026-88772 sono già sfruttate: Mandiant osserva root access, web shell WHIPSHOT e tunneling interno con SLAPSHOT.
• TeamViewer 15.82 corregge cinque vulnerabilità High, compreso un bypass dei controlli di sessione remota che può arrivare all’esecuzione di codice.
• Cisco pubblica un nuovo advisory per un authentication bypass nell’API di Catalyst SD-WAN Manager, confermando la pressione crescente sulle piattaforme amministrative.

Tre prodotti progettati per amministrare sistemi e reti entrano contemporaneamente nel ciclo di patching, ma non con la stessa urgenza operativa. Citrix NetScaler è il caso più grave perché due vulnerabilità critiche risultano già sfruttate e Google/Mandiant ha osservato post-exploitation con accesso root, web shell e tunneling verso le reti interne. TeamViewer distribuisce invece la versione 15.82 per cinque vulnerabilità High senza evidenze note di sfruttamento attivo, mentre Cisco pubblica un nuovo bollettino dedicato a un bypass dell’autenticazione nell’API di Catalyst SD-WAN Manager. Il filo comune è la posizione di questi prodotti: software e appliance che amministrano altri sistemi diventano moltiplicatori dell’attacco quando il controllo remoto stesso è la superficie vulnerabile.

NetScaler non è più un problema di patching: alcune appliance possono essere già compromesse

Citrix ha confermato lo sfruttamento di CVE-2026-88771 e CVE-2026-88772, entrambe valutate 9,5 secondo CVSS v4. La prima permette esecuzione di comandi da remoto senza autenticazione e interessa tutte le installazioni vulnerabili di NetScaler ADC e Gateway anche nella configurazione predefinita; la seconda è un memory overflow capace di produrre RCE o denial of service quando DTLS è attivo, configurazione presente di default sui VPN vServer. Le build corrette indicate nel bollettino Citrix CTX697096 partono da 14.1-73.37 e 13.1-64.23, con release dedicate anche a FIPS e NDcPP. La differenza rispetto a una normale vulnerabilità critica è che le due zero-day NetScaler erano già state documentate come sfruttate globalmente: aggiornare resta indispensabile, ma un dispositivo esposto prima della patch non può essere automaticamente considerato pulito.

Leggi anche: Citrix, Oracle e Lunex mostrano perché WAF ed EDR non bastano quando cade il perimetro

Mandiant trova WHIPSHOT e SLAPSHOT: dal gateway si passa alla rete interna

La ricostruzione tecnica di Google Threat Intelligence Group e Mandiant alza ulteriormente la gravità del caso. Lo sfruttamento di CVE-2026-88772 è stato osservato almeno dall’inizio di settembre contro organizzazioni nordamericane ed europee nei settori governativo, finanziario, tecnologico, educativo, energetico e professionale. Gli aggressori ottengono accesso root al sistema FreeBSD sottostante e installano WHIPSHOT, web shell PHP capace di ricevere payload Base64 all’interno di header HTTP apparentemente normali, insieme a SLAPSHOT, tunneler Python utilizzato come bridge TCP verso host della rete interna. In almeno un’intrusione il tunnel è servito per ricognizione manuale e furto di credenziali. Il problema operativo è quindi quello già emerso con le campagne contro apparati edge e infrastrutture direttamente esposte: una VPN appliance compromessa non rappresenta soltanto un server bucato, ma una posizione privilegiata dalla quale raggiungere sistemi che Internet non vede.

TeamViewer 15.82 chiude cinque falle ma il punto critico è il controllo della sessione

TeamViewer affronta un rischio diverso. Il bollettino TV-2026-1010 corregge cinque vulnerabilità in Remote, Tensor e ONE, tutte risolte nella versione 15.82 e nelle corrispondenti release legacy supportate. La falla più grave, CVE-2026-92370 con CVSS 8,8, permette a un aggressore remoto autenticato di alterare i parametri di access control durante l’apertura della sessione, superando restrizioni configurate dalla vittima e arrivando potenzialmente all’esecuzione di codice. CVE-2026-19743 consente invece a un utente locale con bassi privilegi di ottenere scritture arbitrarie come SYSTEM o root attraverso il servizio IPC; CVE-2026-92368 sfrutta un file di registrazione .tvs manipolato per provocare un heap overflow su Linux e macOS; le altre due falle riguardano escalation locale su installer Windows e Cloud Session Recording Linux. TeamViewer dichiara di non conoscere exploitation attiva. La priorità resta comunque alta perché TeamViewer è già stato trasformato in passato in infrastruttura di accesso remoto occulto da campagne TeamSpy: il valore di uno strumento amministrativo legittimo per un attaccante è precisamente quello di possedere già tutte le capacità necessarie al controllo dell’endpoint.

Cisco riporta l’attenzione sull’API di Catalyst SD-WAN Manager

Il terzo tassello arriva da Cisco, che ha pubblicato un advisory dedicato a un authentication bypass nell’API di Catalyst SD-WAN Manager. La vulnerabilità va letta nel contesto di una piattaforma che centralizza configurazione e amministrazione dell’infrastruttura SD-WAN: un errore nell’autenticazione dell’API ha quindi un peso molto diverso da un difetto equivalente su un servizio periferico. Il dossier è particolarmente sensibile perché Catalyst SD-WAN aveva già ricevuto ad agosto un ampio ciclo di hardening e precedenti vulnerabilità del manager hanno consentito accesso a informazioni sensibili, scrittura arbitraria di file e compromissioni osservate. Cisco aveva inoltre documentato in primavera exploitation attiva su alcune falle SD-WAN, compreso l’uso di endpoint non presenti nelle installazioni pulite come indicatori di compromissione. Il nuovo bollettino conferma quindi che il piano di management resta una superficie da isolare e aggiornare con priorità elevata, non una semplice console amministrativa interna.

Continua con:
Cisco FMC sotto attacco: il bypass dell’autenticazione porta fino a root
HPE ArubaOS-CX e Cisco Nexus 9000 mostrano il rischio delle RCE sugli apparati di rete

Patchare TeamViewer e Cisco, investigare NetScaler prima di dichiarare chiuso l’incidente

La priorità finale non può quindi essere la stessa per tutti e tre i prodotti. TeamViewer va aggiornato almeno alla 15.82 o alla release corretta prevista per il ramo legacy utilizzato, perché il vendor non segnala sfruttamento pubblico ma le primitive disponibili comprendono bypass dei controlli remoti, file write privilegiata e code execution. Cisco richiede la verifica puntuale delle versioni indicate nel nuovo advisory SD-WAN e l’aggiornamento del management plane, mantenendo l’API amministrativa lontana da esposizioni non necessarie. NetScaler richiede invece un passaggio aggiuntivo: un appliance che è rimasto vulnerabile durante la finestra di exploitation deve essere trattato come possibile incidente e sottoposto alla ricerca degli indicatori forniti dal vendor e da Mandiant prima che la sola installazione della patch venga interpretata come remediation completa. È la stessa distinzione emersa nel caso Gitea, dove l’aggiornamento non cancellava automaticamente gli effetti di una compromissione già avvenuta. Quando cade uno strumento di accesso remoto o una appliance di frontiera, la domanda non è soltanto “è stato aggiornato?”, ma “chi lo ha raggiunto prima dell’aggiornamento e cosa ha fatto dopo?”.