Citrix a publié le 27 septembre un bulletin de sécurité (CTX697096) corrigeant huit vulnérabilités dans NetScaler ADC et NetScaler Gateway. Deux d’entre elles, CVE-2026-88771 et CVE-2026-88772, permettent l’exécution de code à distance et sont déjà exploitées contre des boîtiers non corrigés. La CISA les a ajoutées le jour même à son catalogue des vulnérabilités activement exploitées.
Les deux failles exploitées
| CVE | Type | Score CVSS 4.0 | Condition |
|---|---|---|---|
| CVE-2026-88771 | Validation d’entrée insuffisante : exécution de commandes sans authentification | 9.5 | Toutes les configurations, y compris par défaut |
| CVE-2026-88772 | Dépassement de mémoire : exécution de code ou déni de service | 9.5 | DTLS activé, ce qui est le cas par défaut sur les serveurs virtuels VPN |
La première est la plus grave : elle ne demande aucune fonctionnalité particulière. La seconde concerne en pratique la plupart des passerelles NetScaler Gateway, puisque DTLS y est actif tant qu’il n’a pas été désactivé explicitement. Citrix confirme des exploitations sans donner de détails sur leur ampleur ni sur les attaquants.
Versions corrigées
| Produit | Version corrigée minimale |
|---|---|
| NetScaler ADC et Gateway 14.1 | 14.1-73.37 |
| NetScaler ADC et Gateway 13.1 | 13.1-64.23 |
| NetScaler ADC 14.1-FIPS | 14.1-73.37 FIPS |
| NetScaler ADC 13.1-FIPS et 13.1-NDcPP | 13.1-37.279 |
Les déploiements Secure Private Access en mode hybride qui utilisent des instances NetScaler doivent aussi être mis à jour. Le bulletin ne concerne que les boîtiers gérés par les clients : les services cloud gérés par Citrix sont mis à jour par l’éditeur.
Les builds publiés en août pour CVE-2026-19490 (14.1-73.32 et 13.1-63.21) ne protègent pas contre ces nouvelles failles. Un NetScaler patché le mois dernier reste vulnérable et doit être mis à jour à nouveau.
Que faire maintenant
- Inventoriez vos instances NetScaler ADC et Gateway et leur build exact, y compris les instances FIPS et celles des environnements de test exposés.
- Mettez à jour vers les builds du tableau ci-dessus, en commençant par les passerelles exposées sur Internet.
- Si la mise à jour est impossible immédiatement, Citrix recommande de réduire l’exposition à Internet autant que l’exploitation le permet.
- Vérifiez si DTLS est activé sur vos serveurs virtuels VPN, puisque CVE-2026-88772 en dépend.
- Cherchez des traces de compromission sur les boîtiers restés exposés avant correctif : comme pour les précédentes vagues contre NetScaler, une mise à jour ne supprime pas un accès déjà installé.
Sur Reddit, des administrateurs racontent que certains prestataires leur ont conseillé d’éteindre leurs NetScaler en attendant. Ce n’est pas une consigne de Citrix ni de la CISA, mais cela donne une idée de l’urgence perçue.
Pourquoi ces boîtiers sont si visés
Les passerelles d’accès à distance sont exposées sur Internet par définition et donnent accès au réseau interne. Les NetScaler ont déjà été au cœur de plusieurs campagnes massives ces dernières années. Avec une faille exploitable sans authentification sur une configuration par défaut, la fenêtre entre publication et exploitation à grande échelle se compte généralement en jours.