Suivre Citrix a publié des mises à jour de sécurité d’urgence pour deux vulnérabilités critiques de type zero-day affectant NetScaler ADC et NetScaler Gateway après avoir confirmé que des attaquants exploitent déjà les deux failles dans des attaques réelles. Répertoriées sous les codes CVE-2026-88771 et CVE-2026-88772, les vulnérabilités affichent chacune un score CVSS v4.0 de 9,5 et peuvent permettre l’exécution de code à distance non authentifié sur des appareils vulnérables.
Les failles sont particulièrement dangereuses car les appareils NetScaler se trouvent souvent à la périphérie des réseaux d’entreprise, offrant la distribution applicative, l’accès VPN, l’authentification et la connectivité à distance. Une compromission réussie peut donc offrir aux attaquants un point d’appui stratégiquement précieux entre les utilisateurs externes et l’infrastructure interne.
CVE-2026-88771 est causée par une mauvaise validation de l’entrée et peut permettre à un attaquant non authentifié d’exécuter des commandes arbitraires à distance. Aucune fonction optionnelle ou configuration spéciale n’est requise : les déploiements NetScaler ADC et Gateway vulnérables sont exposés même dans leur configuration par défaut.
CVE-2026-88772 est une vulnérabilité de dépassement de mémoire qui peut entraîner une exécution de code à distance ou un déni de service. Son exploitation requiert que DTLS soit activé, mais Citrix note que DTLS est activé par défaut sur les serveurs virtuels VPN, ce qui signifie que de nombreuses installations de NetScaler Gateway pourraient potentiellement être exposées sans que les administrateurs aient explicitement activé la fonctionnalité.
CISA a ajouté les deux vulnérabilités à son catalogue des vulnérabilités exploitées connues le 27 septembre 2026, citant des rapports et des renseignements partenaires confirmant une exploitation mondiale. Les agences du Federal Civilian Executive Branch avaient jusqu’au 30 septembre pour appliquer les correctifs de Citrix.
Analyse de CVE-2026-88771 et CVE-2026-88772
Les deux zero-day fournissent des chemins techniques différents pour la compromission mais conduisent à des conséquences tout aussi graves.
Analyse de CVE-2026-88771 se concentre sur une faiblesse de validation d’entrée incorrecte classifiée comme CWE-20. Citrix déclare qu’un attaquant non authentifié sur le réseau peut exploiter la faille pour exécuter des commandes arbitraires sur un appareil NetScaler vulnérable.
La vulnérabilité ne nécessite aucun mode de déploiement spécial. CVE-2026-88771 affecte toutes les installations vulnérables de NetScaler ADC et NetScaler Gateway, y compris les systèmes exécutant la configuration par défaut.
Son vecteur CVSS 4.0 est :
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
La vulnérabilité est accessible à distance, ne nécessite aucun privilège d’attaquant ou interaction de la victime, et peut avoir un impact élevé sur la confidentialité, l’intégrité et la disponibilité.
CVE-2026-88772 prend un chemin différent. La vulnérabilité est classée comme CWE-119, Restriction incorrecte des opérations à l’intérieur des limites d’un tampon mémoire. La corruption de mémoire déclenchée via le chemin DTLS vulnérable peut provoquer soit l’exécution de code à distance soit un déni de service.
La clé détails pour CVE-2026-88772 sont liés à la configuration. La condition vulnérable existe lorsque DTLS est activé sur NetScaler ADC ou Gateway. Citrix avertit spécifiquement que DTLS est activé par défaut sur les serveurs virtuels VPN.
Par exemple, une configuration telle que :
add vpn vserver vpn1 SSL 10.0.0.0 443 -Listenpolicy NONE
n’éteint pas explicitement DTLS, ce qui signifie que le serveur virtuel VPN reste exposé.
Une configuration contenant :
-dtls OFF
ne répond pas à la condition préalable documentée pour cette vulnérabilité particulière.
D’autres serveurs virtuels configurés directement avec le type DTLS peuvent également exposer la fonctionnalité vulnérable.
CVE-2026-88772 a le vecteur CVSS 4.0 suivant :
CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
Bien que Citrix évalue sa complexité d’attaque plus élevée que CVE-2026-88771, une exploitation réussie peut toujours fournir une RCE non authentifiée et potentiellement une compromission complète de l’appareil affecté.
Les deux vulnérabilités affectent les versions prises en charge de NetScaler avant leurs constructions corrigées respectives :
- NetScaler ADC et NetScaler Gateway 14.1 avant 14.1-73.37
- NetScaler ADC et NetScaler Gateway 13.1 avant 13.1-64.23
- NetScaler ADC FIPS 14.1 avant 14.1-73.37 FIPS
- NetScaler ADC FIPS et NDcPP 13.1 avant 13.1-37.279
Les déploiements hybrides d’accès privé sécurisé utilisant des instances NetScaler affectées nécessitent également des mises à jour.
Les services cloud gérés par Citrix et l’authentification adaptative gérée par Citrix sont gérés par Cloud Software Group, qui applique les mises à jour logicielles nécessaires à ces services gérés.
La divulgation a suivi des avertissements inhabituels durant le week-end précédent. Avant que Citrix ne publie des identifiants CVE et des correctifs, des chercheurs en sécurité et des intervenants en cas d’incident avaient rapporté des preuves de multiples vulnérabilités RCE NetScaler non divulguées précédemment exploitées contre des appareils exposés à Internet. Il a été conseillé à certaines organisations d’isoler ou de fermer temporairement les systèmes vulnérables en attendant la remédiation officielle.
Citrix a publié le CTX697096 le 27 septembre, confirmant que l’exploitation des deux vulnérabilités avait été observée sur des déploiements non atténués.
Les dates exactes de découverte privée n’ont pas été divulguées publiquement, et Citrix n’a pas identifié les acteurs de la menace responsables des attaques ni fourni de date de début précise pour la campagne d’exploitation.
Les attaques sont significatives car les appareils de périphérie offrent un point d’appui initial attrayant. Une exécution de commande ou de code réussie sur un système NetScaler pourrait potentiellement permettre aux attaquants de déployer des charges utiles persistantes, d’accéder à des matériaux d’authentification, d’inspecter le trafic, de voler des identifiants, de modifier la configuration ou de pivoter vers des systèmes accessibles depuis l’appareil.
Ce sont les conséquences potentielles d’une compromission de l’appareil. Citrix n’a pas documenté publiquement la chaîne complète de post-exploitation utilisée dans chaque attaque observée.
À l’heure actuelle, il n’existe pas de PoC entièrement armé crédible et vérifié de manière indépendante PoC de CVE-2026-88771 référencée dans l’avis de Citrix ou les deux rapports demandés. Cela ne réduit pas le risque immédiat : Citrix et CISA ont déjà confirmé que les attaquants possèdent des capacités d’exploitation fonctionnelles.
Citrix a mis à disposition des capacités génériques de détection de compromission grâce au workflow Security Advisory de la console NetScaler. La fonctionnalité nécessite de la télémétrie et est disponible via le service Console ainsi que prise en charge par les déploiements sur site utilisant Cloud Connect.
Il n’existe pas de jeu complet public d’IOCs spécifiques aux attaquants pour IOCs CVE-2026-88772 tels que les adresses IP, les hachages de logiciels malveillants, les domaines ou les chaînes de commande dans le matériel source. Les organisations devraient donc éviter de considérer l’absence de correspondance avec un IOC connu comme preuve qu’un appareil est propre.
Citrix avertit spécifiquement que ses vérifications disponibles ne peuvent pas couvrir toutes les techniques d’attaque et peuvent ne pas réussir à identifier chaque compromission. Les journaux externes et les preuves médico-légales sont donc importants.
Atténuation de CVE-2026-88771 et CVE-2026-88772
Citrix recommande vivement de mettre à jour immédiatement tous les appareils NetScaler ADC et Gateway affectés.
Les constructions corrigées sont :
- NetScaler ADC / Gateway 14.1-73.37 ou ultérieur
- NetScaler ADC / Gateway 13.1-64.23 ou ultérieur
- NetScaler ADC 14.1-FIPS 14.1-73.37 FIPS ou ultérieur
- NetScaler ADC 13.1-FIPS / NDcPP 13.1-37.279 ou ultérieur
Les administrateurs utilisant la version 13.1 doivent également consulter les dernières instructions de mise à niveau de Citrix. Citrix note que certains déploiements utilisant des variables NetScaler peuvent rencontrer un problème de boucle de redémarrage lors de la mise à jour vers 13.1-64.23 et recommande de planifier 13.1-64.24 le cas échéant.
Pour CVE-2026-88771, il n’y a pas de condition préalable de configuration que les administrateurs peuvent simplement désactiver. La vulnérabilité affecte les configurations par défaut, donc réduire l’exposition ne remplace pas l’installation de la mise à jour du fournisseur.
La principale Atténuation de CVE-2026-88772 consiste également à mettre à niveau vers une version corrigée. Les administrateurs peuvent en outre déterminer si la condition vulnérable DTLS existe et, lorsque cela est opérationnellement approprié, désactiver explicitement DTLS sur les serveurs virtuels VPN jusqu’à ce que le correctif soit appliqué. Ceci ne doit être considéré que comme une réduction de l’exposition pour cette CVE, et non comme un substitut à la mise à jour de l’appareil.
Parce que l’exploitation a déjà eu lieu, les défenseurs doivent aborder la remédiation à la fois comme un exercice de correction de patch et de réponse aux incidents.
La détection de CVE-2026-88771 devrait commencer par identifier chaque appareil NetScaler ADC et Gateway géré par le client, déterminer sa version précise en cours d’exécution et établir si elle était accessible sur Internet avant la remédiation.
Pour la deuxième faille, les équipes de sécurité devraient inspecter la configuration en cours d’exécution pour les serveurs VPN ou autres serveurs virtuels avec DTLS activé.
To Détecter l’exploitation de CVE-2026-88772 ou toute activité suspecte liée à l’un des deux zero-day, les défenseurs devraient enquêter sur :
- Commandes ou processus inattendus sur les appareils NetScaler
- Fichiers nouvellement créés ou modifiés sans explication administrative légitime
- Changements de configuration inexpliqués
- Paramètres d’authentification nouveaux ou modifiés
- Connexions sortantes anormales à partir de l’appareil
- Connexions inattendues de NetScaler vers des serveurs internes
- Pannes d’appareils ou redémarrages inexpliqués
- Horodatages montrant des changements non autorisés pendant des périodes de suspicions d’accès externes
- Nouveaux mécanismes de persistance ou fichiers accessibles via le web
- Activité d’authentification inhabituelle associée à l’appareil
- Différences entre les journaux d’appareils locaux et les télémeétries réseau ou SIEM stockées de manière externe
Ces comportements sont des pistes d’investigation plutôt que des signatures uniques pour les vulnérabilités.
Les organisations devraient exécuter l’analyse IOC disponible de Citrix via la console NetScaler mais ne devraient pas s’arrêter là. Citrix avertit qu’une analyse propre ne peut pas prouver de manière concluante qu’aucune exploitation n’a eu lieu.
L’acheminement des journaux d’appareils vers un SIEM externe est particulièrement précieux. Un attaquant avec une exécution de code sur un appareil de bord peut être capable de modifier ou de supprimer des preuves locales, tandis que les enregistrements de pare-feu, d’authentification, DNS, NetFlow, proxy et SIEM stockés à l’extérieur du système compromis restent en dehors.
CISA a également souligné la triage médico-légal dans le cadre de ses directives de remédiation pour les deux vulnérabilités.
Si une compromission est suspectée, les actions de réponse recommandées incluent :
- Préserver les preuves de l’instance NetScaler affectée
- Isoler l’appareil
- Révoquer les identifiants et accès affectés
- Enquêter sur les systèmes avec lesquels l’appareil a communiqué
- Reconstruire l’appareil compromis
- Passer à une version corrigée du firmware
- Faire pivoter les mots de passe des comptes locaux
- Faire pivoter les clés de chiffrement où c’est approprié
- Remplacer les certificats SSL restaurés si la reconstruction provient d’une sauvegarde jugée saine
- Renforcer l’appareil reconstruit selon les instructions de sécurité de Citrix
Le patching d’un appareil précédemment compromis ne supprime pas la persistance, les shells Web, les identifiants volés ou d’autres artefacts d’attaquant qui peuvent déjà exister.
Les organisations devraient donc traiter tout appareil exposé à Internet et vulnérable pendant la période d’exploitation connue comme nécessitant une enquête rétrospective.
FAQ
Quelles sont CVE-2026-88771 et CVE-2026-88772 et comment fonctionnent-elles ?
CVE-2026-88771 est une vulnérabilité de validation d’entrée incorrecte dans NetScaler ADC et Gateway qui permet à un attaquant distant non authentifié d’exécuter des commandes arbitraires. CVE-2026-88772 est un dépassement de mémoire affectant les déploiements avec DTLS activé et peut provoquer l’exécution de code à distance ou un déni de service. DTLS est activé par défaut sur les serveurs virtuels VPN NetScaler.
Quand CVE-2026-88771 et CVE-2026-88772 ont-elles été découvertes pour la première fois ?
Citrix n’a pas divulgué publiquement les dates exactes de découverte initiale. Les rapports sur les zero-day RCE NetScaler exploités ont émergé immédiatement avant l’avis du fournisseur, et Citrix a officiellement divulgué les deux vulnérabilités le 27 septembre 2026 dans le bulletin CTX697096. CISA les a ajoutées au catalogue KEV le même jour.
Quel est l’impact de CVE-2026-88771 et CVE-2026-88772 sur les systèmes ?
Les deux vulnérabilités peuvent permettre l’exécution de code à distance non authentifié sur les appareils NetScaler affectés. CVE-2026-88772 peut également provoquer un déni de service. Une compromission réussie d’une passerelle de bord peut exposer des configurations sensibles, du matériel d’authentification et des systèmes connectés et peut offrir aux attaquants un point de départ pour une intrusion ultérieure.
Les CVE-2026-88771 et CVE-2026-88772 peuvent-elles toujours m’affecter en 2026 ?
Oui. Les systèmes NetScaler ADC et Gateway exécutant des versions antérieures à 14.1-73.37 ou 13.1-64.23 restent vulnérables, ainsi que les constructions FIPS et NDcPP correspondantes affectées. Les deux vulnérabilités sont déjà exploitées à l’échelle mondiale et sont répertoriées dans le catalogue des vulnérabilités exploitées connues de la CISA.
Comment puis-je me protéger contre CVE-2026-88771 et CVE-2026-88772 ?
Mettez à jour immédiatement vers la version corrigée appropriée de NetScaler. Vérifiez l’exposition DTLS, exécutez les vérifications de compromission de Citrix, préservez les journaux et les preuves médico-légales, et enquêtez sur les appareils qui ont été exposés avant la correction. Si une compromission est suspectée, isolez et reconstruisez l’appareil, faites pivoter les identifiants et le matériel de chiffrement, et enquêtez sur les systèmes qui étaient accessibles depuis l’appareil NetScaler compromis.
