{"id":7134,"date":"2025-07-14T06:00:19","date_gmt":"2025-07-14T04:00:19","guid":{"rendered":"https:\/\/www.sitowebsicuro.com\/?p=7134"},"modified":"2025-07-13T08:27:50","modified_gmt":"2025-07-13T06:27:50","slug":"citrix-bleed-2-la-falla-e-aperta-gli-exploit-circolano","status":"publish","type":"post","link":"https:\/\/www.sitowebsicuro.com\/it\/citrix-bleed-2-la-falla-e-aperta-gli-exploit-circolano\/","title":{"rendered":"Citrix Bleed 2: la falla \u00e8 aperta, gli exploit circolano"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Un nuovo incubo per la cybersicurezza: la vulnerabilit\u00e0 Citrix Bleed 2<\/strong> (CVE-2025-5777) colpisce i dispositivi NetScaler Gateway e ADC<\/strong>. Gli exploit sono gi\u00e0 online e i bersagli includono pubbliche amministrazioni, banche e aziende italiane. Continua a leggere per sapere cosa sta succedendo e come difendersi.<\/p>

\"Cos'\u00e9<\/p>

Cos\u2019\u00e8 Citrix Bleed 2 e perch\u00e9 \u00e8 pericoloso<\/strong><\/h4>

Citrix Bleed 2 \u00e8 il nome dato a una nuova vulnerabilit\u00e0, identificata come CVE-2025-5777<\/strong>, che colpisce i dispositivi NetScaler Gateway e ADC<\/strong>. \u00c8 stata chiamata cos\u00ec perch\u00e9 ricorda la famigerata falla del 2023 (CVE-2023-4966), ampiamente sfruttata da cybercriminali e gruppi APT per rubare cookie di sessione e dati utente<\/strong>.<\/p>

Come allora, anche oggi il rischio principale riguarda l\u2019accesso non autorizzato alla memoria<\/strong> del dispositivo.
Il bug consente di inviare richieste malformate durante la fase di login, e ottenere cos\u00ec dati riservati direttamente dalla RAM. Non serve autenticarsi, n\u00e9 usare tecniche sofisticate: basta una semplice richiesta manipolata per estrarre informazioni sensibili<\/strong>, come token di sessione attivi<\/strong>. In mani sbagliate, questi token possono consentire a un attaccante di impersonare un utente legittimo, accedere a servizi protetti o esfiltrare dati riservati da un sistema apparentemente sicuro.<\/p>

\"Come<\/p>

Come funziona l\u2019exploit CVE-2025-5777<\/strong><\/h4>

Il funzionamento di Citrix Bleed 2 si basa su un errore nella gestione delle stringhe<\/strong> all\u2019interno del codice Citrix. In particolare, il bug nasce dall\u2019utilizzo errato della funzione snprintf in combinazione con il modificatore %.*s, che causa una lettura fuori dai limiti (out-of-bounds read) della memoria del sistema.
Un attaccante pu\u00f2 sfruttare questa falla inviando una richiesta POST malformata<\/strong>, ad esempio con un parametro login= incompleto o vuoto. Il dispositivo vulnerabile risponde includendo nella risposta porzioni della propria memoria<\/strong>, fino al primo byte nullo. Ogni richiesta permette di leggere circa 127 byte<\/strong> di dati, ma effettuandone molte in sequenza \u00e8 possibile ricostruire informazioni pi\u00f9 complesse come token di sessione<\/strong>, dati utente e frammenti di configurazione.
A rendere ancora pi\u00f9 grave la situazione \u00e8 la semplicit\u00e0 dell\u2019attacco<\/strong>: non serve essere esperti per replicarlo, e sono gi\u00e0 disponibili Proof-of-Concept (PoC)<\/strong> pubblici su GitHub e forum underground. Questo rende la finestra di esposizione estremamente ampia e il rischio concreto, non teorico.<\/p>

\"Citrix<\/p>

<\/figure>

Chi \u00e8 a rischio: banche, PA e imprese italiane<\/strong><\/h4>

Secondo l\u2019ultimo bollettino del CERT-AgID<\/strong>, almeno 70 sistemi esposti<\/strong> e vulnerabili a Citrix Bleed 2 risultano attivi in Italia. Si tratta di dispositivi appartenenti a istituzioni bancarie, compagnie assicurative, enti pubblici<\/strong> e grandi aziende. In molti casi, questi sistemi fungono da gateway per reti interne o come punti di accesso per utenti remoti, rendendoli obiettivi particolarmente sensibili.
Una vulnerabilit\u00e0 che permette la lettura della memoria in questi contesti pu\u00f2 significare accesso completo alle credenziali<\/strong>, dirottamento di sessioni, furto di documenti e violazioni del GDPR. Non solo: gli attacchi possono essere automatizzati e distribuiti su larga scala, sfruttando strumenti open source per la scansione e lo sfruttamento delle falle, con un impatto potenzialmente catastrofico sulla continuit\u00e0 operativa e sulla fiducia degli utenti<\/strong>.
Ogni giorno di ritardo nell’applicazione della patch espone reti strategiche a intercettazioni silenziose e persistenti<\/strong>.<\/p>

\"Le<\/p>

Le critiche a Citrix: la denuncia degli esperti<\/strong><\/h4>

Nonostante la gravit\u00e0 della vulnerabilit\u00e0, la gestione della crisi da parte di Citrix sta sollevando forti critiche. In prima linea c\u2019\u00e8 Kevin Beaumont<\/strong>, ricercatore di sicurezza tra i pi\u00f9 autorevoli a livello internazionale, che ha dichiarato pubblicamente che gli attacchi attivi sono in corso da met\u00e0 giugno<\/strong>, ben prima della pubblicazione ufficiale delle patch.
Beaumont accusa Citrix di minimizzare l\u2019impatto<\/strong> e di non fornire indicatori di compromissione (IoC)<\/strong> utili per rilevare eventuali intrusioni. Una situazione simile si era gi\u00e0 verificata con la precedente vulnerabilit\u00e0 Citrix Bleed del 2023, anche in quel caso gestita con scarsa trasparenza.
Anche i team di Horizon3.ai<\/strong> e watchTowr<\/strong> hanno pubblicato analisi tecniche indipendenti, confermando la possibilit\u00e0 concreta di sfruttare il bug per accedere a dati sensibili. Horizon3 \u00e8 riuscita a rubare token di sessione<\/strong> in laboratorio, mentre watchTowr ha osservato un impatto simile ma non replicabile in tutti gli scenari. Il consenso tra gli esperti, tuttavia, \u00e8 chiaro: la falla \u00e8 reale, attivamente sfruttata e sottovalutata<\/strong>.<\/p>

\"Cosa<\/p>

Cosa fare subito per difendersi<\/strong><\/h4>

Di fronte a una vulnerabilit\u00e0 come Citrix Bleed 2, il tempo \u00e8 un fattore critico<\/strong>. La prima azione da compiere \u00e8 aggiornare immediatamente<\/strong> i dispositivi NetScaler ADC e Gateway con le patch ufficiali rilasciate da Citrix. Ma questo non basta.
Gli amministratori devono terminare tutte le sessioni ICA e PCoIP attive<\/strong> per impedire l\u2019abuso di token gi\u00e0 intercettati. \u00c8 inoltre essenziale monitorare i log<\/strong> per individuare accessi anomali o richieste sospette, adottando meccanismi di allerta in tempo reale.
Tra le contromisure consigliate:<\/p>