CISA aggiunge sei CVE al KEV: da Citrix RCE a SQL Server con 7 anni di attacchi

Il 26 agosto 2026, l'agenzia statunitense per la cybersicurezza CISA ha aggiunto sei vulnerabilità al catalogo Known Exploited Vulnerabilities (KEV), attivando il Binding Operational Directive 26-04 per le agenzie federali. Tra queste, due emergenze con caratteristiche opposte: CVE-2026-8452 su Citrix NetScaler, divulgata come DoS ma rivelatasi RCE pre-autenticato con exploitation attiva confermata entro 12 giorni dalla pubblicazione del PoC; e CVE-2019-1068 su Microsoft SQL Server, ancora sfruttata dopo sette anni nonostante patch disponibile dal 2019.

Da DoS a RCE pre-autenticato: la discrepanza di classificazione su CVE-2026-8452

Citrix ha divulgato CVE-2026-8452 il 30 giugno 2026, rilasciando patch il medesimo giorno. L'advisory ufficiale descrive la falla come memory overflow in NetScaler ADC/Gateway con potenziale impatto sulla disponibilità del servizio. Il punteggio assegnato è CVSS v4.0 Base Score 8.8, classificazione CRITICAL con vettore AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — indicatore di massima criticità per completezza e impatto.

La riclassificazione operativa è intervenuta il 14 agosto 2026, quando watchTowr Labs ha pubblicato analisi tecnica dettagliata e working proof-of-concept che dimostrava la concatenabilità della falla in remote code execution pre-autenticato completo. La dimostrazione ha invalidato la percezione originaria del rischio: ciò che il vendor aveva presentato come interruzione di servizio è diventato, nelle mani di un ricercatore indipendente, veicolo di esecuzione codice arbitrario senza credenziali.

La velocità di transizione è misurabile: dodici giorni tra pubblicazione del PoC e conferma CISA di exploitation attiva nel catalogo KEV. Questo intervallo si colloca tra i più compressi osservati per vulnerabilità enterprise di questa classe, dove la disponibilità di codice exploit funzionante ha accelerato l'adozione da parte di operatori attivi.

Exploitation confermata: indicatori e limiti della visibilità attuale

Previdian, firma di threat intelligence, ha confermato exploitation in corso il 26 agosto 2026 con specificità tecniche rilevanti. I sistemi monitorati hanno rilevato installazione di web shell con nomi file 'x.php' e 'z.php', accompagnate da comandi di discovery del tipo 'id' ed 'echo'. L'attività è originata da tre indirizzi IP unici, ubicati in tre paesi diversi. Non emergono sovrapposizioni infrastrutturali che colleghino l'operatore a gruppi threat actor noti allo stato attuale.

La scala dell'exploitation non è quantificabile oltre questi rilevamenti iniziali. Il dossier non specifica se i tre IP rappresentino tre operatori indipendenti o nodi di una stessa infrastruttura distribuita, né fornisce stime di sistemi compromessi. L'assenza di aggiornamento dell'advisory Citrix al momento della documentazione lascia un punto di discontinuità tra certificazione vendor e intelligence di terza parte.

"This morning we started seeing exploitation for CVE-2026-8452 (Citrix NetScaler PreAuthRCE)" — Previdian

Il caso CVE-2019-1068: sette anni e non sentirli

La seconda vulnerabilità con deadline accelerata è CVE-2019-1068, remote code execution in Microsoft SQL Server con CVSS 8.8 HIGH. La falla è stata scoperta nel 2019, patch è disponibile da allora, eppure CISA la registra nel KEV nel 2026 con exploitation attiva confermata. Sette anni di persistenza attiva indicano un fenomeno sistemico: l'esistenza tecnica di una correzione non ne garantisce l'adozione operativa.

A differenza di CVE-2026-8452, per cui CISA richiede solo patching entro il 29 agosto 2026, CVE-2019-1068 è soggetta a requisito di triage forense secondo BOD 26-04. Le agenzie federali devono verificare la presenza di indicatori di compromissione oltre all'applicazione della patch, segnalando priorità governativa differenziata. Il provvedimento citato non motiva esplicitamente questa distinzione: l'ipotesi leggibile è la maggiore profondità storica dell'exploitation, che richiede ricostruzione retrospettiva degli accessi.

Per le altre quattro vulnerabilità incluse nel KEV — CVE-2015-3246, CVE-2015-5287, CVE-2021-23758, CVE-2022-0995 — CISA conferma criteri di inclusione (exploitation attiva confermata) ma non fornisce dettagli operativi. Le deadline di patching sono fissate al 9 settembre 2026, con margine temporale maggiore rispetto alle due priorità.

Cosa fare adesso

Le azioni documentate nel provvedimento CISA e nelle fonti citate sono le seguenti:

• Applicare la patch per CVE-2026-8452 su Citrix NetScaler ADC/Gateway entro il 29 agosto 2026 per sistemi governativi federati; il provvedimento non specifica estensione obbligatoria a entità private ma la raccomandazione è implicita nella criticità KEV.
• Eseguire triage forense sui sistemi Microsoft SQL Server per CVE-2019-1068, con verifica di indicatori di compromissione storici oltre al patching, entro la medesima deadline del 29 agosto 2026.
• Monitorare la presenza di file 'x.php' e 'z.php' sui percorsi web accessibili di NetScaler, in correlazione con log di comando 'id' ed 'echo' — pattern associati all'exploitation documentata da Previdian.
• Verificare lo stato di aggiornamento dell'advisory CTX696604 per eventuale conferma vendor dell'exploitation in-the-wild, data l'attuale discontinuità documentata.

Lettura: il gap tra percezione del rischio e realtà dell'attacco

CVE-2026-8452 incarna un paradosso ricorrente nella gestione delle vulnerabilità: la classificazione vendor, anche quando corretta nel proprio ambito di analisi, può sottostimare le potenzialità di un difetto. La distanza tra DoS e RCE pre-autenticato non è marginale tecnica ma strutturale: il primo richiede mitigazioni di resilienza, il secondo esposizione totale del perimetro. La compressione del tempo di reazione a dodici giorni rende impraticabile qualsiasi ciclo di valutazione standard.

Nel contempo, CVE-2019-1068 rammenta che il threat landscape non premia solo la novità. L'esistenza di sistemi SQL Server non patchati dopo sette anni indica debito tecnico accumulato, non necessariamente ignoranza della falla. La coesistenza di questi due fenomeni nel medesimo provvedimento KEV — falla fresca con escalation di impatto e falla anziana con persistenza storica — delinea uno scenario in cui la velocità di exploitation e l'inerzia del patching operano come pressione convergente sui responsabili della sicurezza.

Fonti

• https://www.infosecurity-magazine.com/news/cisa-kev-microsoft-citrix/
• https://www.helpnetsecurity.com/2026/08/27/netscaler-adc-gateway-cve-2026-8452/
• https://www.cisa.gov/news-events/alerts/2026/08/26/cisa-adds-six-known-exploited-vulnerabilities-catalog
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX696604

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti