NetScaler : des failles exploitées, des correctifs à appliquer

Des attaques déjà observées

Le CERT-FR a publié le 28 septembre 2026 une alerte concernant NetScaler ADC et Gateway. Deux failles, CVE-2026-88771 et CVE-2026-88772, permettent l’exécution de code à distance (le lancement d’instructions sur l’équipement depuis un autre ordinateur) sans authentification préalable. Elles sont activement exploitées, depuis avant la disponibilité des correctifs. Le 5 octobre, l’alerte a intégré CVE-2026-88779 : cette nouvelle faille permet un déni de service (une interruption du service à distance). Son exploitation active est signalée par le CERT-FR d’après la CISA, l’agence américaine de cybersécurité. Alerte du CERT-FR.

Pour une entreprise équipée, la réponse comporte deux volets : corriger l’exposition et vérifier ce qui s’est produit auparavant. Citrix précise qu’une mise à jour ne retire pas les éléments d’une intrusion antérieure et ne prouve pas qu’aucune attaque n’a réussi. Précisions de Citrix.

Les équipements à faire vérifier

Sont concernées les entreprises françaises utilisant des versions affectées administrées par leurs équipes ou leur prestataire, y compris les instances NetScaler (installations du logiciel) de Secure Private Access Hybrid. Citrix assure les mises à jour de ses services cloud (hébergés à distance) qu’il administre. Périmètre du bulletin.

Les conditions à transmettre au technicien

La configuration par défaut suffit pour CVE-2026-88771.

CVE-2026-88772 suppose DTLS (un protocole sécurisant les échanges de données envoyées par paquets indépendants), activé par défaut sur les serveurs virtuels (services réseau configurés dans l’équipement) de type VPN (réseau privé virtuel). Sa désactivation explicite écarte cette condition, mais ne corrige pas la première faille. Conditions techniques.

CVE-2026-88779 concerne les équipements configurés comme fournisseur de service ou fournisseur d’identité SAML (un mécanisme d’échange d’attestations d’authentification). L’un ou l’autre de ces rôles suffit. Nouveau bulletin Citrix.

Les versions correctives à atteindre

Faites relever l’édition exacte avant de choisir le paquet. Les versions minimales à atteindre sont :

• ADC et Gateway 14.1 : 14.1-73.41 ;
• ADC et Gateway 13.1 : 13.1-64.28 ;
• ADC 14.1-FIPS : 14.1-73.41 FIPS ;
• ADC 13.1-FIPS/NDcPP : 13.1-37.282.

Les éditions FIPS/NDcPP sont soumises à des exigences de certification. Vous pouvez aussi retenir une version ultérieure de la branche correspondant à votre édition. Avis actualisé et correctifs Citrix.

Une intervention à engager maintenant

Le bulletin initial date du 27 septembre. L’alerte française du 28 septembre a reçu des compléments le 30 septembre, puis le 5 octobre avec l’ajout de la nouvelle faille et le relèvement des versions correctives. Citrix demande une correction au plus vite. Chronologie officielle et recommandation de l’éditeur.

La réserve de redémarrage en boucle concernait précisément la migration vers 13.1-64.23 lorsque le contrôle des variables configurées renvoyait une liste. Citrix indiquait alors 13.1-64.24 ; cette ancienne destination ne couvre plus l’alerte élargie. Pour l’authentification, faites également vérifier que le fournisseur d’identité émet des assertions SAML signées (attestations dont la signature permet de contrôler l’origine) : leur signature et leur validation sont imposées. Précautions de migration.

Les actions à confier à votre responsable informatique

• Identifier le parc et son responsable. Faites relever instances, versions, éditions et configurations. Attribuez l’intervention et consignez les opérations, leur heure et leur auteur dans un journal de suivi. Méthode du CERT-FR.
• Appliquer le correctif adapté et contrôler les réglages. Faites vérifier les versions obtenues et les précautions SAML.
• Contrôler le réglage TCP complémentaire. Pour CVE-2026-88778, ce réglage TCP (protocole de transport des données) complémentaire concerne les équipements réunissant deux conditions : au moins un serveur virtuel d’un type figurant dans la liste du bulletin et Enhanced ISN Generation désactivé (génération renforcée des numéros de séquence initiaux des connexions). Faites alors appliquer son activation selon la procédure officielle. Conditions cumulatives et réglage documenté.
• Rechercher des traces d’intrusion. Faites utiliser NetScaler Console lorsque ses prérequis sont réunis. La détection nécessite la télémétrie (transmission de données d’utilisation du produit) et exclut actuellement la plateforme BLX (version de NetScaler installée sur Linux). Une absence de détection ne garantit pas l’absence de compromission. Conditions et limites.
• En cas de suspicion, mobiliser la réponse à incident. Faites préserver les preuves puis isoler l’équipement. Confiez à l’équipe compétente la révocation des accès et certificats (documents numériques permettant d’attester une identité) concernés, l’examen des systèmes connectés et la reconstruction adaptée au matériel.
• Préparer une restauration sûre. La restauration doit utiliser une sauvegarde saine antérieure à l’intrusion, après mise à jour ; les mots de passe des comptes locaux de l’équipement, les clés de chiffrement des clés (KEK) et les certificats SSL (sécurisation des communications) restaurés doivent ensuite être renouvelés. Citrix recommande de renforcer la configuration de sécurité et de surveiller étroitement le système reconstruit pour détecter toute activité suspecte pendant au moins 90 jours après la récupération. Si l’intervention des autorités est envisagée ou requise, consultez le conseil juridique avant reconstruction : la conservation des preuves peut primer sur la remise en service. Procédure Citrix.

VCSTS prend en charge le chantier de sécurisation, de l’état initial à la mise en place et aux vérifications.