Citrix a publié des correctifs pour CVE-2026-88779, une nouvelle vulnérabilité de NetScaler ADC et NetScaler Gateway déjà utilisée dans des attaques ciblées. Elle ne concerne que les équipements gérés par le client et configurés pour l’authentification SAML, mais elle suffit à rendre le service indisponible. L’agence américaine de cybersécurité CISA l’a ajoutée le dimanche 4 octobre à son catalogue des failles exploitées et a fixé au 7 octobre la date limite de traitement pour les administrations fédérales.
Une faille de mémoire qui vise l’authentification SAML
D’après The Hacker News, la vulnérabilité obtient un score CVSS de 8,7, soit une gravité élevée. Il s’agit d’un débordement de mémoire qui, une fois déclenché, fait tomber le service. Citrix affirme n’avoir constaté aucune atteinte à l’intégrité des données de ses clients, mais avertit qu’en cas de déclenchements répétés le service peut rester hors ligne.
Tous les NetScaler ne sont pas exposés. Selon Help Net Security, seuls les déploiements sur site sont exploitables, et uniquement lorsque SAML y est utilisé avec les fonctions Gateway ou AAA (authentification, autorisation et traçabilité). Que l’équipement joue le rôle de fournisseur de services SAML ou celui de fournisseur d’identité, il est concerné. The Hacker News indique comment le vérifier : une ligne « authentication samlAction » dans la configuration trahit le premier rôle, une ligne « authentication samlIdPProfile » le second.
La découverte est attribuée aux sociétés de sécurité Bishop Fox et watchTowr. Cette dernière explique avoir reproduit le problème quelques heures après avoir repéré une activité suspecte sur ses leurres NetScaler ; elle n’a pas encore publié de détails techniques.
Pourquoi un « simple » déni de service coupe le travail à distance
Face à un vol de données, un déni de service passe souvent pour un moindre mal. Sur une passerelle NetScaler, le raisonnement ne tient plus. L’équipement sert de porte d’entrée aux salariés qui se connectent de l’extérieur aux applications internes, et SAML y raccorde la connexion au fournisseur d’identité de l’entreprise. Si la brique d’authentification tombe, personne ne passe : télétravailleurs, prestataires et sites distants se retrouvent bloqués en même temps.
Citrix dit avoir observé des attaques ciblées contre des installations non corrigées, susceptibles de provoquer ce déni de service. Une incertitude demeure : selon Help Net Security, on ignore encore si la faille peut conduire à l’exécution de code à distance. Le média rapporte que les assaillants semblent chercher à s’en servir pour télécharger puis lancer un script qui installe des webshells, ces portes dérobées qui offrent un accès durable à un serveur web. Le chercheur Kevin Beaumont a, de son côté, enregistré des attaques venues de plusieurs adresses IP sur ses pots de miel, et récupéré un fichier malveillant sur l’un d’eux.
Les versions à installer sans attendre
Citrix a diffusé des versions corrigées pour les branches maintenues. D’après les deux médias, il faut passer au minimum à :
- NetScaler ADC et Gateway 14.1-73.41 ;
- NetScaler ADC et Gateway 13.1-64.28 pour la branche 13.1 ;
- NetScaler ADC FIPS 14.1-73.41 FIPS ;
- NetScaler ADC FIPS et NDcPP 13.1-37.282.
Pour les équipes qui ne peuvent pas mettre à jour immédiatement, l’éditeur a publié des signatures à activer dans sa fonction Global Deny List : elles bloquent les connexions provenant d’adresses IP malveillantes déjà identifiées. Un spécialiste de la chasse aux menaces de l’assureur américain Geico a également partagé une règle de détection au format SIGMA, destinée à repérer les sondages, les balayages et les tentatives d’exploitation, rapporte Help Net Security.
Corriger ne suffit pas : chercher les traces d’intrusion
Cette alerte survient dans une période déjà tendue pour les administrateurs NetScaler. Deux autres failles, CVE-2026-88771 et CVE-2026-88772, ont elles aussi été exploitées avant correctif ; The Hacker News renvoie à des rapports selon lesquels elles ont servi à déposer des webshells et des outils de tunnel. Help Net Security relaie par ailleurs des témoignages d’administrateurs qui, sur Reddit, décrivent des plantages et des redémarrages de leurs équipements après avoir installé la mise à jour couvrant huit vulnérabilités, dont ces deux-là.
Pour savoir si un équipement a été visité, Citrix met à disposition un script de recherche d’indicateurs de compromission dans NetScaler Console. Sa dernière version peut toutefois signaler à tort des processus « nobody » suspects. Les administrateurs sont donc invités, rapporte Help Net Security, à examiner les résultats avec soin et à conserver les éléments de preuve avant la mise à jour, afin de ne rien perdre d’utile à une éventuelle enquête.
Le délai imposé par la CISA ne s’applique qu’aux agences fédérales américaines, mais il donne la mesure de l’urgence : trois jours seulement séparent l’inscription au catalogue de la date limite. Pour une entreprise européenne ou africaine qui expose une passerelle NetScaler sur Internet, la priorité est la même.
Questions fréquentes
Mon NetScaler est-il concerné par la CVE-2026-88779 ?
Oui s’il est géré par vos soins, tourne sur une version antérieure aux builds corrigés et utilise SAML, comme fournisseur de services ou d’identité, avec les fonctions Gateway ou AAA. La présence de « authentication samlAction » ou « authentication samlIdPProfile » dans la configuration permet de le confirmer.
La faille permet-elle de voler des données ?
Citrix n’a relevé aucune atteinte à l’intégrité des données clients : l’effet connu est l’indisponibilité du service. Une exécution de code à distance n’est ni confirmée ni exclue à ce stade, selon Help Net Security.
Que faire si la mise à jour ne peut pas être immédiate ?
Activer les signatures Global Deny List fournies par Citrix, surveiller les tentatives d’exploitation, par exemple avec la règle SIGMA publiée, lancer le script d’indicateurs de compromission de NetScaler Console, puis programmer la mise à jour au plus vite.
Sources
- CISA flags new exploited NetScaler flaw as attackers crash appliances (CVE-2026-88779) — Help Net Security, 2026-10-05
- New NetScaler Zero-Day Exploited in Targeted Attacks Can Knock SAML Deployments Offline — The Hacker News, 2026-10-05