Apache e Citrix correggono falle critiche: RCE HTTP/2 e bypass dell’autenticazione su NetScaler

In sintesi

• Apache corregge una vulnerabilità critica che consente potenzialmente l’esecuzione remota di codice. CVE-2026-119618 interessa mod_http2 nelle versioni HTTP Server da 2.4.55 a 2.4.70. La correzione arriva con Apache 2.4.71.
• Citrix rilascia aggiornamenti per NetScaler ADC, Gateway e Console. Le vulnerabilità comprendono errori di memoria, denial-of-service e un bypass dell’autenticazione con punteggio CVSS 9,4.
• Anche i client VPN Windows e Linux richiedono aggiornamenti. Due falle consentono l’escalation locale dei privilegi fino a SYSTEM o root. Non risultano sfruttamenti pubblicamente confermati per le nuove vulnerabilità.

Apache Software Foundation e Citrix hanno pubblicato nuovi aggiornamenti di sicurezza per correggere vulnerabilità critiche che interessano server web, infrastrutture VPN e sistemi di gestione delle reti aziendali. Il caso più grave sul fronte Apache riguarda CVE-2026-119618, una condizione di concorrenza nel modulo HTTP/2 che può permettere a un attaccante remoto non autenticato di eseguire codice con i privilegi del processo web server. La vulnerabilità è stata individuata dai ricercatori di Anthropic e Google Cloud ed è stata corretta nella versione Apache HTTP Server 2.4.71. Parallelamente, Citrix interviene su NetScaler ADC, NetScaler Gateway, NetScaler Console e Secure Access Client, correggendo problemi di corruzione della memoria, interruzione dei servizi, aggiramento dell’autenticazione ed escalation dei privilegi. Le due aziende affrontano rischi differenti, ma accomunati dalla presenza di componenti esposti o utilizzati per gestire servizi critici. Per gli amministratori la priorità è verificare le configurazioni realmente vulnerabili e installare le versioni corrette, senza attendere la comparsa di exploit pubblici.

Apache HTTP Server, la falla HTTP/2 permette l’esecuzione remota di codice

CVE-2026-119618 è una vulnerabilità classificata Critical da Apache, descritta nel bollettino ufficiale del progetto come un problema di sincronizzazione tra operazioni concorrenti nel modulo mod_http2. Il difetto si trova nella funzione assign_headers(): quando thread differenti utilizzano risorse condivise senza un coordinamento adeguato, può verificarsi una corruzione della memoria heap. In determinate condizioni, questa anomalia può essere sfruttata per ottenere remote code execution, consentendo a un aggressore di eseguire istruzioni con i privilegi del processo Apache. La possibilità di attacco senza autenticazione rende particolarmente rilevanti le installazioni che espongono direttamente il servizio HTTP/2 a Internet.

Le versioni interessate sono Apache HTTP Server dalla 2.4.55 alla 2.4.70 e il componente autonomo mod_h2 dalla 2.0.8 alla 2.0.42. La correzione è stata distribuita l’11 novembre 2026 con Apache 2.4.71. La scoperta è stata attribuita ad Anthropic OSS Scanner, che aveva segnalato il problema il 26 ottobre, e ai ricercatori Anthony Weems e Simon Scannell di Google Cloud Vulnerability Research, che lo avevano comunicato il 3 novembre. La partecipazione di Anthropic si inserisce nelle attività già descritte nell’approfondimento sull’impiego di OSS Scanner per individuare vulnerabilità nei progetti open source.

Quanti server Apache sono realmente esposti alla vulnerabilità

L’esposizione non dipende soltanto dalla versione del software, ma anche dall’attivazione di HTTP/2. Il modulo interessato deve infatti essere disponibile e utilizzato nella configurazione del server. Secondo le rilevazioni della società Wiz riportate da BleepingComputer, il 64% degli ambienti cloud osservati contiene risorse con versioni vulnerabili e circa la metà presenta istanze accessibili pubblicamente. Questi numeri non equivalgono tuttavia alla percentuale di server effettivamente sfruttabili, perché non considerano tutte le configurazioni applicative. HTTP/2 non è abilitato per impostazione predefinita in Apache, e un’installazione che non utilizza il modulo presenta condizioni di esposizione differenti.

Gli amministratori dovrebbero verificare la versione effettivamente installata, la presenza di mod_http2, l’abilitazione del protocollo e l’eventuale utilizzo di pacchetti mantenuti dalle distribuzioni Linux. La mitigazione consigliata è aggiornare ad Apache 2.4.71; qualora l’intervento non sia immediatamente possibile, può essere valutata la disattivazione temporanea di HTTP/2, verificando prima gli effetti sulle applicazioni. La criticità si aggiunge ai precedenti problemi del protocollo, compresa la vulnerabilità HTTP/2 Bomb, che aveva richiesto aggiornamenti per Apache e altri server web. In quel caso l’obiettivo principale era provocare indisponibilità del servizio, mentre la nuova falla presenta un potenziale impatto sulla riservatezza e sull’integrità del sistema.

Leggi anche: HTTP/2 MadeYouReset e le vulnerabilità che colpiscono i server web

Apache 2.4.71 corregge anche due vulnerabilità aggiuntive

L’aggiornamento Apache comprende altre due correzioni. CVE-2026-106023, classificata Important, interessa il modulo mod_md e può provocare il crash di un processo figlio attraverso una dereferenziazione di puntatore nullo. Il problema riguarda le versioni 2.4.69 e 2.4.70. CVE-2026-109163, classificata Low, riguarda invece una debolezza nel modulo mod_vhost_alias che può provocare una sovrascrittura di dati in particolari condizioni operative. Le tre correzioni confermano che la release 2.4.71 non si limita al problema HTTP/2, ma interviene su componenti differenti del server web.

Per le organizzazioni che utilizzano Apache come frontend, reverse proxy o componente di piattaforme applicative, la verifica deve interessare anche le configurazioni distribuite attraverso container e immagini software mantenute separatamente dal sistema operativo. Aggiornare una macchina non significa necessariamente aggiornare ogni istanza Apache presente nell’infrastruttura.

Citrix NetScaler, nove falle critiche tra memoria, DNS e autenticazione

Citrix ha pubblicato un ampio pacchetto di aggiornamenti per NetScaler ADC e NetScaler Gateway, documentato nel bollettino ufficiale CTX697305. Tra le vulnerabilità più rilevanti figura CVE-2026-120868, con punteggio CVSS 9,3, un problema di memory overflow nel sistema di elaborazione dei pacchetti che riguarda tutte le distribuzioni ADC e Gateway, anche con configurazione predefinita. CVE-2026-107412, valutata CVSS 9,5, comprende più condizioni di overflow della memoria e interessa le appliance configurate come Gateway oppure server virtuali di autenticazione AAA. Le conseguenze descritte dal produttore comprendono comportamenti imprevisti e denial-of-service, con potenziale interruzione dei servizi aziendali.

Altri problemi riguardano componenti specifici: CVE-2026-107407 interessa il traffico SMPP, CVE-2026-107408 e CVE-2026-107409 coinvolgono DNS e DNS-over-HTTPS, mentre CVE-2026-107410 riguarda NetScaler Push. Seguono vulnerabilità nella gestione delle autenticazioni mediante email OTP, nelle funzioni di Endpoint Analysis e nel proxy ICA, fra cui CVE-2026-107415, CVE-2026-111344 e CVE-2026-120864. L’advisory ufficiale elenca anche ulteriori difetti relativi a SAML, LDAP, WebAuth, HTTP/3 e altre funzionalità. Non tutte le vulnerabilità sono presenti in ogni appliance: salvo i problemi esplicitamente indicati come generali, lo sfruttamento richiede l’attivazione dei servizi coinvolti.

NetScaler Console espone un bypass dell’autenticazione con CVSS 9,4

La vulnerabilità più delicata sul fronte della gestione centralizzata è CVE-2026-120869, che interessa Citrix NetScaler Console. Il bollettino CTX697320 descrive un problema di autenticazione che può consentire a un aggressore non autenticato di accedere a risorse normalmente protette. La falla ha punteggio CVSS 9,4 e richiede che l’attaccante possa raggiungere l’indirizzo IP della Console. La versione corretta è NetScaler Console 14.1-74.34, mentre le release precedenti della serie 14.1 risultano vulnerabili.

Il problema assume particolare importanza perché riguarda il piano di amministrazione dell’infrastruttura, non una normale applicazione accessibile agli utenti. L’esposizione delle interfacce di gestione deve quindi essere verificata insieme alle versioni installate. La necessità di proteggere queste piattaforme è confermata dai precedenti attacchi contro Citrix NetScaler, nei quali gli aggressori avevano ottenuto accesso privilegiato e installato web shell. Le nuove vulnerabilità, però, non devono essere confuse con quelle campagne già documentate: Citrix dichiara di non conoscere sfruttamenti attivi delle falle appena corrette.

Secure Access Client, escalation fino a SYSTEM su Windows e root su Linux

Gli aggiornamenti interessano anche Citrix Secure Access Client, utilizzato per l’accesso remoto alle risorse aziendali. CVE-2026-118268, con punteggio CVSS 8,5, permette a un utente locale con privilegi limitati di ottenere SYSTEM su Windows. La correzione è disponibile dalla versione 26.11.1.6. Su Linux, CVE-2026-118269, anch’essa valutata 8,5, consente invece un’escalation locale fino ai privilegi root ed è corretta dalla versione 26.10.4. Le informazioni sono riportate nei bollettini Citrix CTX697280 per Windows e CTX697281 per Linux.

Questi due difetti non equivalgono a un accesso remoto diretto senza autenticazione: richiedono che l’attaccante disponga già di un account locale con privilegi limitati. Rimangono comunque importanti perché possono facilitare il passaggio da una compromissione iniziale al controllo completo del dispositivo. Citrix precisa inoltre che le vulnerabilità sono emerse attraverso attività di analisi del codice assistite dall’intelligenza artificiale, un approccio adottato per individuare problemi prima della loro possibile trasformazione in strumenti offensivi.

Le versioni Citrix da installare e le priorità operative

Per NetScaler ADC e Gateway le versioni corrette sono 14.1-73.57 e 13.1-64.39, o successive all’interno dei rispettivi rami. Le installazioni 14.1-FIPS devono raggiungere almeno 14.1-73.58 FIPS, mentre quelle 13.1-FIPS e 13.1-NDcPP devono utilizzare 13.1-37.293 o successive versioni compatibili. Per NetScaler Console è richiesta almeno 14.1-74.34, mentre i client Windows e Linux devono essere aggiornati alle versioni già indicate. La verifica deve partire dal censimento delle appliance, delle interfacce di gestione raggiungibili e delle funzionalità effettivamente abilitate.

Le due campagne di aggiornamento richiedono priorità differenti ma complementari: Apache presenta una possibile esecuzione remota di codice sui server HTTP/2 vulnerabili, mentre Citrix espone soprattutto servizi di rete, autenticazione e gestione a rischi di interruzione, bypass e acquisizione di privilegi. I precedenti zero-day NetScaler sfruttati su scala internazionale nel settembre 2026 spiegano perché il rilascio di nuove patch non possa essere trattato come manutenzione ordinaria, anche in assenza di attacchi confermati.

Continua con: Citrix NetScaler, la vulnerabilità SAML CVE-2026-107406 apre alla RCE

L’intelligenza artificiale trova le falle, ma la sicurezza dipende dagli aggiornamenti

Le correzioni di Apache e Citrix mostrano due aspetti della stessa evoluzione: strumenti avanzati di analisi individuano vulnerabilità sempre più complesse, mentre la responsabilità dell’aggiornamento rimane agli amministratori. Nel caso Apache, la collaborazione tra i ricercatori Google e lo scanner di Anthropic ha contribuito all’individuazione di una condizione di concorrenza potenzialmente sfruttabile da remoto; nel caso Citrix, l’analisi assistita dall’AI ha supportato la revisione di numerosi componenti delle piattaforme di rete. La scoperta anticipata riduce il rischio soltanto quando le correzioni raggiungono i sistemi in produzione. Per questo le verifiche sulle versioni installate e sulle configurazioni esposte sono più importanti di qualsiasi dichiarazione generale sulla sicurezza dei prodotti.