Suivre Cloud Software Group a publié des mises à jour de sécurité pour une vulnérabilité critique de contournement de l’authentification affectant les appareils NetScaler ADC et NetScaler Gateway. Référencée comme CVE-2026-19490 et notée 9,3 sur l’échelle CVSS v4.0, la faille peut permettre à un attaquant distant non authentifié de contourner les contrôles d’authentification sur des systèmes vulnérables configurés comme passerelles ou serveurs virtuels AAA.
La faille critique de contournement de l’authentification Citrix NetScaler est particulièrement préoccupante car les appareils NetScaler Gateway fonctionnent souvent à la périphérie des réseaux d’entreprise, fournissant des fonctionnalités SSL VPN et d’autres accès à distance. Une exploitation réussie pourrait donner à un attaquant un accès aux services protégés sans nécessiter d’identifiants légitimes ou d’interaction utilisateur.
CVE-2026-19490 comporte un vecteur CVSS indiquant une exploitation basée sur le réseau, une complexité d’attaque faible, pas de privilèges et pas d’interaction utilisateur, avec un impact potentiellement élevé sur la confidentialité, l’intégrité et la disponibilité. Ces caractéristiques font des appareils vulnérables exposés à Internet une cible attrayante une fois que les méthodes d’exploitation fiables deviennent publiquement disponibles.
La vulnérabilité a été divulguée en même temps que CVE-2026-19489, un problème de dépassement de mémoire noté à 8,8 qui peut provoquer un comportement imprévisible ou un déni de service lorsque SIP ALG est activé dans une configuration NAT à grande échelle. Cependant, CVE-2026-19490 présente le risque de sécurité le plus grave car elle cible directement la frontière d’authentification.
Analyse de CVE-2026-19490
La vulnérabilité est classée comme CWE-288 : Contournement de l’authentification à l’aide d’un chemin alternatif. Plutôt que de casser un mot de passe, de voler un jeton ou d’exploiter des identifiants faibles, un attaquant peut atteindre un chemin d’authentification alternatif qui échoue à appliquer les contrôles attendus par la configuration NetScaler affectée.
Les conditions exactes d’exposition dépendent de la branche et de la version du logiciel NetScaler. Pour les nouvelles versions vulnérables, l’exploitation nécessite qu’une action SAML soit configurée. Les versions anciennes ont une surface d’attaque plus large car le simple fonctionnement de l’appareil comme passerelle ou serveur virtuel AAA peut satisfaire la condition préalable de la vulnérabilité.
Les configurations affectées incluent spécifiquement :
- NetScaler 14.1-43.56 et versions vulnérables ultérieures : exploitables lorsque qu’une action SAML est configurée.
- NetScaler 14.1-43.55 et versions vulnérables antérieures : la configuration comme passerelle ou serveur virtuel AAA est suffisante.
- NetScaler 13.1-61.28 et versions vulnérables ultérieures : exploitables lorsque qu’une action SAML est configurée.
- NetScaler 13.1-61.27 et versions vulnérables antérieures : la configuration comme passerelle ou serveur virtuel AAA est suffisante.
- Déploiements FIPS 13.1 : affectés lorsqu’ils sont configurés comme passerelle ou serveur virtuel AAA.
Les configurations de passerelle qui peuvent exposer le chemin vulnérable incluent SSL VPN, ICA Proxy, VPN sans client/CVPN, et RDP Proxy. Les serveurs virtuels AAA sont également affectés dans les conditions spécifiées pour chaque branche logicielle.
CVE-2026-19490 affecte les versions de NetScaler ADC et NetScaler Gateway prises en charge avant les versions corrigées du fournisseur, y compris :
- NetScaler ADC et NetScaler Gateway 14.1 avant 14.1-73.32
- NetScaler ADC et NetScaler Gateway 13.1 avant 13.1-63.21
- Versions FIPS et NDcPP vulnérables correspondantes.
Les déploiements hybrides Secure Private Access s’appuyant sur des instances NetScaler gérées par les clients sont également exposés et nécessitent la mise à jour logicielle appropriée. Cloud Software Group a déjà corrigé ses propres services cloud gérés et ses offres Adaptive Authentication.
Les détails les plus importants concernant CVE-2026-19490 se réfèrent à la position que ces systèmes occupent au sein de l’infrastructure d’entreprise. NetScaler Gateway est couramment déployé comme couche d’authentification et d’accès distant entre les utilisateurs externes et les applications internes. Contourner cette frontière de sécurité peut donc permettre à un attaquant d’accéder sans autorisation à des services que les organisations cherchent à protéger par des contrôles d’authentification.
Contrairement aux vulnérabilités nécessitant un compte authentifié, une exploitation réussie ne dépendrait pas d’abord du vol des identifiants des employés. Le vecteur CVSS spécifie l’absence de privilèges et d’interaction utilisateur, rendant les appareils exposés potentiellement atteignables directement sur le réseau lorsque la configuration requise est présente.
Ce qui se passe après la rupture de l’authentification dépend des applications et des ressources disponibles via la passerelle affectée. Un adversaire pourrait potentiellement accéder à des services d’entreprise protégés, rassembler des informations disponibles pour les utilisateurs à distance, ou utiliser le point d’appui non autorisé dans le cadre d’une intrusion plus large dans l’environnement interne. L’évaluation de la gravité par le fournisseur reflète un impact potentiellement élevé sur la confidentialité, l’intégrité et la disponibilité.
Les administrateurs peuvent déterminer si leurs systèmes répondent aux conditions préalables de la vulnérabilité en inspectant les configurations NetScaler pour les actions SAML ainsi que pour les serveurs virtuels d’authentification et VPN. Les éléments de configuration pertinents incluent les entrées samlAction, authentication vserver, et vpn vserver.
La vulnérabilité a été divulguée de manière responsable par Samarth Vashisht de l’équipe de test de pénétration de JPMorgan Chase. Les dates exactes de découverte et de rapport privés n’ont pas été détaillées publiquement dans les divulgations citées.
Au 20 août 2026, la divulgation du fournisseur et les deux rapports cités n’ont pas identifié de CVE-2026-19490 PoC publié publiquement ou confirmé l’exploitation active dans la nature. Néanmoins, la combinaison de l’accès à distance non authentifié, de la faible complexité d’attaque, et du déploiement généralisé de NetScaler aux frontières des réseaux d’entreprise rend la remédiation rapide importante avant que des techniques d’exploitation détaillées ne circulent.
Il n’existe également aucun indicateur d’exploitation de CVE-2026-19490 spécifique à une campagne dans les divulgations citées. Les défenseurs doivent donc se concentrer sur la configuration des appareils, la télémétrie d’authentification, le comportement inhabituel d’accès à distance, et les preuves de sessions non autorisées plutôt que d’attendre des adresses IP malveillantes, des domaines ou des hachages de fichiers connus.
Mitigation de CVE-2026-19490
Cloud Software Group recommande fortement de mettre à jour immédiatement les appareils NetScaler gérés par les clients qui sont affectés. Les principales branches fixes sont :
- NetScaler ADC et NetScaler Gateway 14.1-73.32 ou versions ultérieures
- NetScaler ADC et NetScaler Gateway 13.1-63.21 ou versions ultérieures
- Les versions FIPS et NDcPP corrigées correspondantes.
Les organisations exploitant Secure Private Access Hybrid avec des instances NetScaler gérées par le client doivent également mettre à jour ces appareils. Les environnements cloud gérés par Citrix ont déjà reçu la remédiation nécessaire.
La détection de CVE-2026-19490 devrait commencer par un inventaire complet des systèmes NetScaler ADC et Gateway accessibles depuis l’extérieur. Les équipes de sécurité devraient enregistrer les versions logicielles et identifier quels appareils hébergent des serveurs virtuels Gateway ou AAA et lesquels ont des actions SAML configurées.
Les administrateurs peuvent ensuite prioriser les systèmes exposés à Internet qui remplissent simultanément les conditions préalables de version et de configuration vulnérables. Les appareils utilisés pour le SSL VPN, l’ICA Proxy, le CVPN, le RDP Proxy, ou pour l’authentification centralisée méritent une attention particulière car ils médiatisent directement l’accès aux ressources internes.
Pour détecter les tentatives d’exploitation de CVE-2026-19490 ou un comportement suspect après authentification, les défenseurs devraient examiner la télémétrie NetScaler, AAA, VPN, SAML, et des applications en aval pour des activités telles que :
- Sessions réussies sans événement d’authentification attendu correspondant
- Accès à des ressources protégées sans séquence de connexion normale
- Requêtes ou flux d’authentification liés à SAML inhabituels
- Sessions établies pour des identités inexistantes ou inattendues
- Augmentations abruptes de requêtes non authentifiées contre des serveurs virtuels Gateway ou AAA
- Nouvelles sessions distantes provenant de localisations géographiques inhabituelles ou d’adresses IP jamais vues auparavant
- Accès à des applications internes incohérent avec l’historique apparent d’authentification
- Modifications inattendues de la configuration suite à une activité d’accès à distance suspecte
Étant donné que la demande d’exploitation exacte n’a pas été documentée publiquement, ces comportements devraient être traités comme des pistes d’enquête plutôt que comme une confirmation unique que la vulnérabilité a été exploitée.
Les équipes de sécurité devraient également conserver les journaux historiques d’authentification et d’accès NetScaler avant la mise à niveau si possible. Le correctif empêche les exploitations futures mais ne peut pas déterminer si un appareil a été accédé avant la remédiation.
Si des sessions suspectes sont identifiées, les intervenants en cas d’incident devraient enquêter sur les ressources atteintes via la passerelle affectée, examiner les journaux des applications en aval, inspecter l’activité d’authentification et SAML, terminer les sessions suspectes, et faire tourner les identifiants ou jetons potentiellement exposés si approprié.
La mitigation de CVE-2026-19490 doit également inclure le passage des installations NetScaler non prises en charge aux branches logicielles prises en charge. Les appareils qui ne reçoivent plus de mises à jour de sécurité normales créent une incertitude supplémentaire car les organisations ne peuvent pas compter sur des correctifs futurs pour les vulnérabilités d’authentification et de sécurité mémoire nouvellement découvertes.
Étant donné la gravité critique et le rôle à la périphérie des réseaux des appareils concernés, les organisations devraient traiter ceci comme une mise à jour urgente de la sécurité périmétrique plutôt que d’attendre leur cycle de maintenance normal. Les deux rapports cités avertissent que l’historique de NetScaler en tant que cible pour le scan et l’exploitation augmente la probabilité que les systèmes vulnérables attirent l’attention à mesure que plus d’informations techniques deviennent disponibles.
Contacter le service commercial
FAQ
Qu’est-ce que CVE-2026-19490 et comment fonctionne-t-il ?
CVE-2026-19490 est une vulnérabilité critique de contournement de l’authentification dans NetScaler ADC et NetScaler Gateway. Elle est classée comme CWE-288 et permet à un attaquant distant non authentifié de contourner l’authentification via un chemin alternatif lorsqu’un appareil affecté répond à des exigences de configuration spécifiques Gateway, AAA, ou SAML.
Quand CVE-2026-19490 a-t-il été découvert pour la première fois ?
La date exacte de découverte privée n’a pas été divulguée publiquement. Cloud Software Group attribue à Samarth Vashisht de l’équipe de test de pénétration de JPMorgan Chase le signalement responsable de la vulnérabilité. Des rapports publics décrivant le problème et ses correctifs ont émergé le 19 août 2026.
Quel est l’impact de CVE-2026-19490 sur les systèmes ?
Une exploitation réussie peut permettre à un attaquant non authentifié de contourner les contrôles d’accès sur des appareils NetScaler vulnérables et d’obtenir un accès non autorisé à des services protégés. Étant donné que NetScaler Gateway protège couramment l’accès à l’entreprise VPN et aux applications, la vulnérabilité pourrait fournir un point d’entrée vers des ressources internes sensibles.
CVE-2026-19490 peut-il encore m’affecter en 2026 ?
Oui. Les appareils NetScaler ADC et Gateway gérés par les clients restent vulnérables s’ils exécutent des versions affectées et répondent aux conditions de configuration requises. Les systèmes 14.1 pris en charge devraient être mis à niveau vers 14.1-73.32 ou ultérieur, tandis que les systèmes 13.1 pris en charge devraient passer à 13.1-63.21 ou ultérieur.
Comment puis-je me protéger contre CVE-2026-19490 ?
Mettez immédiatement à niveau les appareils NetScaler concernés vers les versions corrigées par le fournisseur. Les administrateurs devraient également identifier les configurations Gateway, AAA, et SAML, revoir les journaux d’authentification et VPN pour des sessions suspectes, et enquêter sur tout accès à des ressources protégées qui ne peut être lié à un événement d’authentification légitime.
