Citrix NetScaler ADC et Gateway : failles exploitées, nouvelle mise à jour du 4 octobre

En bref

• Le fait. Le 27 septembre 2026, Citrix a publié des correctifs pour plusieurs failles de NetScaler ADC et NetScaler Gateway, dont deux permettent à un attaquant non authentifié d'exécuter du code à distance. Elles étaient exploitées avant la disponibilité des correctifs. Le CERT-FR a ouvert l'alerte CERTFR-2026-ALE-011 le 28 septembre, puis l'a mise à jour le 5 octobre 2026 pour ajouter CVE-2026-88779, un déni de service également exploité, qui relève les versions correctives. Source : alerte du CERT-FR.
• Êtes-vous concerné ? Si votre entreprise utilise un boîtier ou une machine virtuelle NetScaler (anciennement Citrix ADC) pour l'accès distant, la publication d'applications ou la répartition de charge, directement ou via un infogérant. Selon Citrix, tous les équipements non corrigés sont vulnérables dans leur configuration par défaut.
• Quoi faire :
  1. faites vérifier que la version installée est au moins 14.1-73.41 ou 13.1-64.28 (ou l'équivalent FIPS) : une mise à jour faite fin septembre ne suffit pas ;
  2. faites rechercher des traces de compromission avec les indicateurs publiés par Citrix et Google ;
  3. en cas de doute, prévenez votre prestataire et signalez l'incident au CERT-FR.
• Urgence : élevée. Exploitation active confirmée par Citrix, la CISA et le CERT-FR.

Détail technique

Identifiants. CVE-2026-88771 (validation d'entrée insuffisante, exécution de commandes sans authentification), CVE-2026-88772 (exécution de code à distance ou déni de service), CVE-2026-88779 (déni de service à distance, ajoutée le 5 octobre). Avis CERT-FR associés : CERTFR-2026-AVI-1235 et CERTFR-2026-AVI-1263.

Produits et versions.

• NetScaler ADC et NetScaler Gateway 14.1 : versions affectées 14.1.x antérieures à 14.1-73.41 ; version corrigée : 14.1-73.41 ou ultérieure.
• NetScaler ADC et NetScaler Gateway 13.1 : versions affectées 13.1.x antérieures à 13.1-64.28 ; version corrigée : 13.1-64.28 ou ultérieure.
• NetScaler ADC 14.1-FIPS : versions affectées antérieures à 14.1-73.41 FIPS ; version corrigée : 14.1-73.41 FIPS ou ultérieure.
• NetScaler ADC 13.1-FIPS et NDcPP : versions affectées antérieures à 13.1-37.282 ; version corrigée : 13.1-37.282 ou ultérieure.

KEV. Oui : CVE-2026-88771 et CVE-2026-88772 ont été ajoutées au catalogue KEV de la CISA le 27 septembre 2026, CVE-2026-88779 le 4 octobre 2026. Le champ kev_date reprend la première date.

Exploitation active. Oui, selon Citrix, la CISA et le CERT-FR. Les exploitations ont commencé avant la publication des correctifs.

IOC publics. Citrix met des indicateurs à disposition de ses clients via la console NetScaler, et Mandiant et Google Threat Intelligence Group publient des indicateurs et des règles de détection. Nous ne les recopions pas : reportez-vous à l'alerte du CERT-FR et aux publications citées en sources.

Remédiation.

• Mettre à jour vers 14.1-73.41, 13.1-64.28, 14.1-73.41 FIPS ou 13.1-37.282 (FIPS et NDcPP), ou ultérieures.
• Rechercher des traces de compromission avec les indicateurs de l'éditeur et de Google, y compris sur les équipements déjà mis à jour fin septembre.
• En cas de compromission, signaler l'événement au CERT-FR.