Citrix corrige en urgence deux failles critiques déjà exploitées dans ses produits NetScaler
Citrix a corrigé huit vulnérabilités critiques en urgence le 27 septembre dans deux produits NetScaler. Il est recommandé aux administrateurs concernés de les installer aussi rapidement que possible car deux d’entre elles sont déjà exploitées.
Citrix a corrigé en urgence deux failles critiques (CVE-2026-88771 et CVE-2026-88772) dans ses produits NetScaler ADC et NetScaler Gateway, deux solutions utilisées pour gérer les connexions réseau et sécuriser les accès à distance. Ces failles étaient déjà exploitées par des attaquants avant même la publication des correctifs, ce qui a motivé une réaction immédiate. Une faille (CVE-2026-88771) permet à un pirate non authentifié d’exécuter des commandes arbitraires à distance, tandis que l’autre (CVE-2026-88772) peut entraîner des exécutions de code ou des interruptions de service (déni de service). Leur score de gravité est de 9,5 sur 10 sur l’échelle CVSS (Common Vulnerability Scoring System), proche du maximum. Ces failles touchent tous les déploiements par défaut, sans configuration spécifique requise.
Les équipements vulnérables incluent les versions de NetScaler ADC et NetScaler Gateway antérieures à 14.1-73.37 et 13.1-64.23, ainsi que des versions spécifiques comme NetScaler ADC FIPS avant 14.1-73.37 FIPS ou 13.1-37.279. La faille CVE-2026-88772 nécessite que le protocole DTLS (Datagram Transport Layer Security) soit activé, ce qui est le cas par défaut. Pour limiter les risques, Citrix recommande de désactiver DTLS avec l’option -dtls OFF ou de vérifier que les serveurs virtuels ne sont pas de type DTLS. Ces produits sont largement utilisés par les entreprises pour sécuriser leurs accès à distance, ce qui explique l’urgence de la situation.
En plus des deux failles critiques, Citrix a corrigé six autres vulnérabilités dans ses mises à jour du 28 septembre 2026. Parmi elles, la faille CVE-2026-88773, classée comme critique avec un score CVSS de 9,3, permet une contrebande de requêtes HTTP (HTTP Request Smuggling). Cette technique exploite une incohérence dans l’interprétation des requêtes par le serveur, pouvant conduire à des attaques ou des fuites de données. Les autres vulnérabilités ont des scores allant de 7 à 8,8, les classant comme importantes. Aucune de ces failles ne semble encore activement exploitée, mais leur correction reste essentielle pour renforcer la sécurité globale des systèmes.
Installer les correctifs est une étape cruciale, mais elle ne suffit pas à garantir la sécurité des équipements déjà compromis. Citrix souligne que les mises à jour empêchent de nouvelles exploitations, mais ne peuvent pas détecter ou supprimer d’éventuelles intrusions passées. Il est donc recommandé de conserver les journaux et les images mémoire des équipements pendant au moins un mois après la mise à jour, puis de surveiller activement leur activité. Deux méthodes permettent de vérifier une compromission : utiliser l’outil d’analyse intégré à la console NetScaler (version 14.1-73.36 ou ultérieure) ou demander des marqueurs spécifiques au support Citrix. Cependant, ces outils ne couvrent pas tous les types d’attaques possibles.
Le Centre national néerlandais de cybersécurité (NCSC) a été le premier à alerter publiquement les entreprises néerlandaises le 26 septembre 2026, avant même la publication des identifiants CVE par Citrix. Cette réactivité s’explique par le Cyber Resilience Act européen, entré en vigueur le 11 septembre 2026, qui impose aux entreprises de signaler les failles découvertes aux CERT nationaux. Le NCSC a confirmé surveiller les menaces cyber pour les Pays-Bas, mais n’a pas détaillé les mesures prises. Parallèlement, des discussions sur les réseaux sociaux, notamment sur Reddit et Mastodon, ont révélé les premiers signes d’exploitation dès le 26 septembre, avant que la situation ne devienne publique.
Cette situation s’inscrit dans une série d’attaques ciblant NetScaler depuis plusieurs mois. Selon Tenable, un tiers des activités malveillantes visant ces produits ces sept dernières années proviennent de groupes de rançongiciels (ransomware), tandis que les deux tiers restants sont attribués à des groupes étatiques (APT). En août 2026, la CISA (agence américaine de cybersécurité) avait déjà ajouté deux failles critiques (CVE-2026-8452 et CVE-2026-19490) à son catalogue, toutes deux activement exploitées. Ces attaques répétées soulignent la vulnérabilité persistante de ces solutions, malgré leur adoption massive dans les infrastructures critiques.
Face à ces failles, Citrix et des experts en cybersécurité comme *watchTowr* et *Bleeping Computer* recommandent plusieurs mesures urgentes. D’abord, installer les correctifs disponibles sans délai pour tous les équipements concernés. Ensuite, vérifier activement les systèmes pour détecter d’éventuelles compromissions, en utilisant les outils fournis par Citrix ou en analysant les journaux. Il est aussi conseillé de renouveler tous les *secrets* (mots de passe, clés cryptographiques) et les *certificats* stockés sur les équipements affectés. Enfin, si les correctifs ne peuvent pas être appliqués rapidement, réduire au maximum l’exposition des équipements à internet pour limiter les risques d’exploitation.
