En bref

  • Une faille critique (CVSS 9.3) dans Citrix NetScaler ADC et Gateway permet la lecture mémoire hors limites sans authentification
  • Des attaquants sondent activement les honeypots NetScaler pour identifier les configurations SAML vulnérables
  • Citrix a publié des correctifs le 23 mars 2026 — la mise à jour est urgente avant l'apparition d'exploits fonctionnels

Ce qui s'est passé

Citrix a corrigé le 23 mars 2026 la vulnérabilité CVE-2026-3055, une faille de validation d'entrée insuffisante qui permet à un attaquant non authentifié d'effectuer des lectures mémoire hors limites (out-of-bounds read) sur les appliances NetScaler ADC et NetScaler Gateway. Le score CVSS atteint 9.3, plaçant cette faille dans la catégorie critique.

Quelques jours après la publication du correctif, les chercheurs de Defused Cyber et watchTowr ont observé une activité de reconnaissance active dans la nature. Les attaquants interrogent le endpoint /cgi/GetAuthMethods sur des honeypots NetScaler pour identifier les flux d'authentification activés, en particulier les configurations SAML Identity Provider (SAML IDP) — condition nécessaire à l'exploitation de la faille.

Les versions affectées incluent NetScaler ADC et Gateway 14.1 avant 14.1-66.59, 13.1 avant 13.1-62.23, ainsi que les builds NetScaler ADC 13.1-FIPS et 13.1-NDcPP avant 13.1-37.262. La similarité avec la faille CitrixBleed2 (CVE-2025-5777), déjà exploitée massivement, laisse craindre un reverse engineering rapide du patch.

Pourquoi c'est important

NetScaler ADC et Gateway sont déployés dans des milliers d'entreprises pour gérer l'accès distant, le load balancing et l'authentification. Une lecture mémoire hors limites peut exposer des tokens de session, des identifiants ou des clés cryptographiques — exactement le scénario qui avait permis le pillage massif lors de CitrixBleed en 2023. Le fait que la reconnaissance soit déjà active signifie que la fenêtre pour patcher se referme rapidement. Les organisations qui utilisent la configuration SAML IDP sont les plus exposées, mais toutes les instances non corrigées constituent une cible potentielle pour l'énumération.

Ce qu'il faut retenir

  • Appliquer immédiatement les correctifs Citrix sur toutes les instances NetScaler ADC et Gateway
  • Vérifier si vos appliances sont configurées en SAML IDP et surveiller les requêtes suspectes vers /cgi/GetAuthMethods
  • Analyser les logs réseau pour détecter toute activité de reconnaissance antérieure au patch

Comment savoir si mon NetScaler est vulnérable à CVE-2026-3055 ?

Vérifiez la version de firmware de votre appliance dans la console d'administration. Si vous utilisez NetScaler ADC ou Gateway en version 14.1 inférieure à 14.1-66.59 ou 13.1 inférieure à 13.1-62.23, votre système est vulnérable. Vérifiez également si la fonctionnalité SAML Identity Provider est activée, car c'est la condition requise pour l'exploitation.

Besoin d'un accompagnement expert ?

Ayi NEDJIMI vous accompagne sur vos projets cybersécurité et IA.

Prendre contact