Citrix NetScaler : 4 zero-days CVSS 9.5 enchaînés

Les faits

Citrix a publié le 27 septembre 2026 un avis de sécurité d'urgence révélant deux vulnérabilités critiques de type Remote Code Execution dans NetScaler ADC et NetScaler Gateway. Les CVE-2026-88771 et CVE-2026-88772 ont toutes deux reçu un score CVSSv4 de 9,5 et ont été confirmées comme exploitées dans la nature avant même la divulgation publique. La CISA a immédiatement intégré les deux entrées à son catalogue Known Exploited Vulnerabilities (KEV) le jour même de la publication de l'advisory Citrix.

CVE-2026-88771 est une vulnérabilité d'exécution de code arbitraire causée par une validation d'entrée défaillante. Elle affecte l'ensemble des déploiements NetScaler ADC et Gateway, y compris ceux configurés par défaut, sans nécessiter l'activation d'une fonctionnalité spécifique. Un attaquant non authentifié peut exploiter cette faille pour exécuter des commandes arbitraires sur l'appliance. C'est la plus critique de la série : elle ne requiert aucune interaction utilisateur, aucun prérequis de configuration, aucun accès préalable.

CVE-2026-88772 est un dépassement de mémoire (memory overflow) pouvant conduire à un RCE ou à un déni de service. Cette vulnérabilité est exploitable lorsque DTLS est activé sur un serveur virtuel VPN, ce qui est le cas par défaut. Les équipes de threat intelligence de Rapid7 ont tracé les premières tentatives d'exploitation de CVE-2026-88771 au 20 septembre 2026, soit une semaine avant la divulgation. Unit 42 (Palo Alto Networks) a identifié des activités de fingerprinting remontant au 21 août 2026, suggérant une phase de reconnaissance de cinq semaines.

Le 4 octobre 2026, une troisième vulnérabilité NetScaler a été ajoutée à la KEV CISA : CVE-2026-88779, un dépassement de mémoire dans le gestionnaire SAML, noté CVSS 8.7. Cette faille permet à un attaquant d'envoyer des requêtes malformées qui font crasher le service SAML à répétition — l'appliance reboot automatiquement après le sixième crash. Des chercheurs ont documenté des cas où CVE-2026-88779 était chaînée avec CVE-2026-88771 pour accélérer la fenêtre d'exploitation : le crash SAML crée des conditions favorables à l'injection de code via la première vulnérabilité.

L'analyse des artefacts post-exploitation recueillis par plusieurs équipes DFIR confirme que les attaquants ont principalement déployé des webshells sur les appliances compromises, leur permettant de maintenir un accès persistant discret. Les webshells identifiés dans les campagnes actives sont écrits en Perl et communiquent via HTTPS sur le port 443, rendant leur détection difficile dans le trafic légitime. Selon l'organisation NHS England Digital, qui a publié un cyber-alert dédié (CC-4858), plusieurs hôpitaux britanniques ont détecté des webshells actifs sur leurs appliances NetScaler avant même l'application du patch.

La chaîne CVE-2026-88771 + CVE-2026-88772 + CVE-2026-88779 représente un scénario d'attaque d'une efficacité redoutable : exploitation sans authentification, persistance via webshell, puis mouvement latéral sur le réseau interne. NetScaler ADC est positionné à la frontière exacte entre Internet et le réseau d'entreprise. Une fois l'appliance compromise, l'attaquant dispose d'une position pour intercepter des flux SSL terminés sur l'ADC, injecter du trafic, ou pivoter vers des systèmes internes.

Citrix a publié le 14 octobre 2026 un quatrième bulletin révélant CVE-2026-107406, une faille dans le composant de gestion des cookies de session pour les appliances avec configuration Gateway. Bien qu'inférieure en score (CVSS 7.5), cette CVE est déjà référencée dans la KEV CISA comme exploitée activement, ce qui porte à quatre le nombre de zero-days NetScaler connus et exploités sur une fenêtre de moins de trois semaines.

Selon BleepingComputer, plus de 20 000 appliances NetScaler ADC et Gateway restaient exposées à CVE-2026-88771 et CVE-2026-88772 au 10 octobre 2026, soit treize jours après la publication du patch. Le retard de patching est structurel : les ADC sont souvent des composants critiques de l'infrastructure dont la mise à jour nécessite une fenêtre de maintenance planifiée, un test de non-régression et une validation de la configuration SAML. C'est précisément ce délai que les attaquants anticipent et exploitent.

Impact et exposition

Toutes les versions de NetScaler ADC et NetScaler Gateway antérieures aux versions corrigées (14.1-34.34, 13.1-55.34, 13.0-92.31, 12.1-FIPS 12.1-55.304) sont vulnérables à CVE-2026-88771. La présence d'une configuration SAML SP ou IdP est requise pour CVE-2026-88779. L'activation de DTLS expose à CVE-2026-88772. Les appliances directement exposées sur Internet sans filtrage préalable constituent la surface à risque maximum. Les secteurs santé, finance et administration publique utilisent massivement NetScaler comme terminaison SSL et passerelle VPN.

Recommandations

• Immédiat : appliquer les patches Citrix (NetScaler ADC 14.1-34.34, 13.1-55.34, 13.0-92.31, 12.1-FIPS 12.1-55.304) — prioriser les appliances exposées sur Internet.
• Auditer les fichiers web sur les appliances (répertoires /netscaler/ns_gui/, /var/nslog/) pour détecter des webshells Perl ou PHP non légitimes.
• Vérifier les logs d'authentification pour identifier des authentifications SAML anormales ou des crashes répétés du service SAML.
• Désactiver temporairement DTLS sur les serveurs VPN si le patch ne peut être appliqué immédiatement.
• Surveiller les connexions sortantes depuis l'appliance NetScaler vers des IPs inconnues — signe possible d'un webshell en communication avec un C2.