Deux failles NetScaler exploitées : les versions corrigées et les mesures à prendre

Au 28 septembre, les premiers signalements de deux failles NetScaler encore sans correctif sont dépassés. Citrix a confirmé l’exploitation de CVE-2026-88771 et CVE-2026-88772, puis publié des mises à jour de sécurité. Les administrateurs doivent installer la version corrigée correspondant à leur édition de l’appliance, préserver les éléments de preuve disponibles et rechercher d’éventuels signes de compromission avant l’application du correctif. 33350

Versions NetScaler corrigées

Pour les déploiements standard de NetScaler ADC et NetScaler Gateway, Citrix indique les versions 14.1-73.37 ou ultérieure et 13.1-64.23 ou ultérieure. Les éditions FIPS et NDcPP ont des exigences distinctes : le bulletin précise 14.1-73.37 FIPS ou ultérieure et 13.1.37.279 ou ultérieure pour les éditions 13.1-FIPS et 13.1-NDcPP. Consultez le bulletin Citrix pour vérifier la version requise pour votre appliance : ne partez pas du principe que le numéro de build standard s’applique à toutes les éditions. 3

Pour les appareils sous 13.1, le nouveau seuil corrigé est 13.1-64.23 ou ultérieure. Une version installée pour corriger une vulnérabilité NetScaler antérieure peut donc ne pas suffire. 34

Ne pas confondre avec CVE-2026-19490

CVE-2026-19490 est une faille distincte. Citrix la décrit comme un contournement de l’authentification par une voie alternative, soumis à certaines conditions de configuration d’un serveur virtuel Gateway ou AAA. Les versions corrigées associées à cette faille comprennent 14.1-73.32 et 13.1-63.21 ; ces builds sont antérieurs aux seuils de correction des deux nouvelles failles RCE. Une appliance mise à jour pour CVE-2026-19490 ne doit donc pas être considérée comme protégée contre CVE-2026-88771 et CVE-2026-88772. 420

Les informations disponibles décrivent CVE-2026-88771 comme une faille de validation incorrecte des entrées, susceptible de permettre à un attaquant non authentifié d’exécuter des commandes. Les deux CVE sont qualifiées de failles d’exécution de code à distance, mais les éléments publiés ici ne suffisent pas à comparer précisément leurs mécanismes d’exploitation. 335054

Arbitrer entre interruption de service et exposition

Mettre une appliance NetScaler hors service peut interrompre l’accès à distance ou les applications qu’elle fournit. À l’inverse, laisser un appareil vulnérable exposé en attendant d’appliquer une mise à jour disponible comporte un autre risque : Citrix a confirmé que les deux failles ont été exploitées sur des déploiements qui n’étaient pas protégés. La priorité est d’installer la bonne version corrigée. Si cela ne peut pas être fait rapidement, envisagez de restreindre l’accès depuis l’extérieur ou de mettre l’appliance hors service, en tenant compte des conséquences opérationnelles. 350

C’est particulièrement important pour la branche 13.1 : ne considérez pas le niveau de correction de CVE-2026-19490 comme suffisant pour ces failles RCE. Vérifiez la version exacte et l’édition de l’appliance dans le bulletin Citrix à jour. 320

Préserver les éléments disponibles et enquêter

La mise à jour corrige les failles, mais ne permet pas de savoir si des attaquants ont accédé à l’appliance avant son installation. Lorsque les contraintes d’exploitation le permettent, conservez les journaux pertinents, la configuration et les autres éléments d’analyse disponibles avant toute action — comme un redémarrage ou une mise à niveau — susceptible de les modifier. Examinez ensuite la période précédant le correctif à la recherche d’accès ou de changements suspects et faites appel à des spécialistes en réponse à incident si une compromission est suspectée. watchTowr recommande également de préserver les éléments disponibles, de rechercher une compromission, puis d’installer une version corrigée. 33

Citrix a confirmé l’exploitation des vulnérabilités, mais les informations disponibles ne précisent ni le nombre d’organisations touchées, ni l’identité des responsables, ni le début des attaques. Ces points restent inconnus : le statut corrigé d’un appareil ne suffit pas à conclure qu’il n’a pas été compromis ou à déterminer l’ampleur d’un éventuel incident. 49