Objet : Multiples vulnérabilités dans Citrix NetScaler ADC et Gateway
Une gestion de version détaillée se trouve à la fin de ce document.
[Mise à jour du 05 octobre 2026] Le 4 octobre 2026, Citrix a publié un avis concernant une nouvelle vulnérabilité (CVE-2026-88779) permettant un déni de service à distance. La CISA indique que cette vulnérabilité est activement exploitée.
[Mise à jour du 30 septembre 2026] Dans un billet de blogue du 29 septembre 2026 (cf. section Documentation), Mandiant et Google Threat Intelligence Group (GTIG) fournissent des indicateurs de compromission ainsi que des règles de détection au format YARA. Ceux-ci n'ont pas été qualifiés par l'ANSSI.
Selon Google, la présence de ces motifs est caractéristique d'une exploitation réussie:
Le CERT-FR a également connaissance d'une preuve de concept publique pour la vulnérabilité CVE-2026-88772.
[Mise à jour du 28 septembre 2026] Le CERT-FR a connaissance d'une preuve de concept publique pour la vulnérabilité CVE-2026-88771.
[Publication Initiale] Le 27 septembre 2026, Citrix a publié un avis de sécurité concernant plusieurs vulnérabilités qui affectent NetScaler ADC et Gateway. Parmi celles-ci, les vulnérabilités CVE-2026-88771 et CVE-2026-88772 permettent une exécution de code arbitraire à distance par un attaquant non authentifié.
Ces vulnérabilités sont activement exploitées et les exploitations ont commencé avant la disponibilité des correctifs.
De plus, l'éditeur indique que si les correctifs n'ont pas été installés, tous les équipements sont vulnérables dans leur configuration par défaut.
Dans son billet de blogue (cf. section Documentation), Citrix indique mettre des indicateurs de compromission à disposition de ses clients par le biais de la console Netscaler.
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Bulletin de sécurité Citrix CTX697096 du 27 septembre 2026
Bulletin de sécurité Citrix CTX697174 du 04 octobre 2026
Avis CERT-FR CERTFR-2026-AVI-1235 du 28 septembre 2026
Avis CERT-FR CERTFR-2026-AVI-1263 du 05 octobre 2026
