CVE-2026-3055 Citrix NetScaler : fuite de tokens SAML

Une lecture mémoire non authentifiée qui vide les sessions SAML actives

Citrix a publié le 23 mars 2026 des correctifs d'urgence pour deux vulnérabilités affectant NetScaler ADC et NetScaler Gateway, ses appliances réseau phares déployées dans la quasi-totalité des grandes entreprises et organisations gouvernementales mondiales. La plus sévère, CVE-2026-3055 (CVSS 9.3), est une lecture hors limites en mémoire (out-of-bounds read) causée par une validation insuffisante des entrées dans le traitement des requêtes SAML. Cette faille permet à un attaquant non authentifié — sans aucun compte valide — d'envoyer des requêtes spécialement forgées vers l'appliance et d'exfiltrer des données sensibles depuis sa mémoire vive, y compris des tokens de session SAML actifs appartenant à des utilisateurs authentifiés. Selon Help Net Security, la vulnérabilité cible spécifiquement les systèmes configurés comme fournisseur d'identité SAML (SAML IDP), une configuration que Rapid7 décrit comme "très probablement très répandue pour les organisations utilisant le SSO" — autrement dit, la majorité des déploiements NetScaler en contexte enterprise. Une seconde faille, CVE-2026-4368 (CVSS 7.7), est une condition de course qui peut provoquer une confusion de session entre utilisateurs distincts sur les configurations Gateway et AAA. Les versions affectées couvrent NetScaler ADC et Gateway 14.1 antérieure à 14.1-66.59, et 13.1 antérieure à 13.1-62.23, ainsi que les variantes FIPS et NDcPP utilisées dans les environnements à conformité renforcée.

Aucun proof-of-concept public ni exploitation in-the-wild n'a été confirmé au 25 mars 2026, mais les chercheurs en sécurité alertent sur la fenêtre de temps extrêmement courte dont disposent les organisations pour patcher. La comparaison avec CitrixBleed2 (CVE-2025-5777) est explicite dans plusieurs publications techniques : cette vulnérabilité précédente, également une lecture mémoire sur NetScaler, avait suivi un trajet quasi identique — disclosure, patches, puis exploitation massive par des groupes ransomware exploitant le delta de patching entre grandes et moyennes entreprises. Qualys ThreatPROTECT souligne que la nature de la faille, un out-of-bounds read sans authentification sur un équipement périmétrique exposé sur Internet, correspond exactement au profil des vulnérabilités que les acteurs sophistiqués instrumentalisent en priorité dès qu'un correctif est disponible, car il leur suffit d'effectuer une ingénierie inverse du patch pour identifier le vecteur d'exploitation précis.

Un token SAML volé contourne intégralement le MFA de toute l'organisation

L'impact réel de CVE-2026-3055 va bien au-delà d'une simple fuite de données. NetScaler ADC et Gateway constituent le point d'entrée SSO pour des dizaines d'applications internes dans les déploiements enterprise : portails RH, outils financiers, accès VPN, suites collaboratives. Un token SAML valide exfiltré depuis la mémoire de l'appliance permet à un attaquant de se connecter silencieusement à n'importe laquelle de ces applications en se faisant passer pour l'utilisateur propriétaire du token — sans déclencher d'alerte MFA, puisque l'authentification forte a déjà été réalisée lors de la création du token. Ce vecteur contourne de facto les investissements MFA des organisations, créant une fenêtre d'accès totalement invisible pour les outils de détection classiques. La gravité est comparable aux récentes compromissions sur VMware Aria Operations et Cisco FMC, qui touchent elles aussi des équipements à accès transversal dans l'architecture SI. Le contexte actuel de MFA bypass sophistiqué — illustré notamment par le démantèlement du service PhaaS Tycoon 2FA — démontre que les attaquants investissent massivement dans les techniques permettant de contourner les couches d'authentification forte. CVE-2026-3055 leur offre une alternative technique directe à ces attaques de type AiTM. Les entreprises utilisant NetScaler comme SAML IDP doivent traiter ce correctif avec la même urgence que les failles critiques sur les couches d'identité telles que Oracle Identity Manager (CVE-2026-21992), et ne pas attendre une prochaine fenêtre de maintenance planifiée.