Vulnérabilités Citrix NetScaler activement exploitées : actions pour les directions
Citrix a publié des correctifs pour huit vulnérabilités de NetScaler ADC et NetScaler Gateway, les systèmes que de nombreuses entreprises utilisent pour l’accès à distance. Deux d’entre elles ont été exploitées avant même la disponibilité du correctif : Citrix les a découvertes en enquêtant sur des incidents chez des clients, et le Centre national de cybersécurité néerlandais a signalé des attaques visant plusieurs organisations dans le monde.
Les autorités traitent ce sujet comme urgent. CERT-EU exhorte les organisations à vérifier les signes de compromission en plus d’appliquer le correctif, et les agences fédérales américaines ont eu trois jours pour sécuriser leurs équipements. Cet article explique le risque métier, les actions que la direction devrait approuver cette semaine, et ce qu’attendent les régulateurs au Royaume-Uni, dans l’UE et en Suisse.
Points clés
| Élément | Détail |
|---|---|
| Bulletin de l’éditeur | CTX697096, publié le 27 septembre 2026 par Cloud Software Group, société mère de Citrix |
| Produits concernés | Équipement NetScaler ADC et NetScaler Gateway gérées par le client, sur des versions antérieures à celles listées dans la section technique ci-dessous |
| Vulnérabilités | Huit corrigées. Deux ont été exploitées avant la publication du correctif |
| Gravité | Classée critique par l’éditeur. Les deux failles exploitées obtiennent un score de 9,5 sur 10 |
| Authentification requise pour l’exploitation | Aucune pour la faille la plus grave, qui fonctionne sur la configuration par défaut |
| Non concernés | Les services cloud gérés par Citrix et l’Adaptive Authentication gérée par Citrix, que l’éditeur met à jour lui-même |
| Décision à prendre aujourd’hui | Approuver un changement d’urgence pour mettre à jour chaque équipement, suivi d’une évaluation de compromission |
Pourquoi cela concerne votre entreprise
NetScaler Gateway est le système que de nombreuses entreprises utilisent pour l’accès à distance. Collaborateurs et prestataires s’y connectent pour accéder à la messagerie et aux systèmes clients, et NetScaler ADC (contrôleur de distribution d’applications) achemine le trafic vers les applications critiques. Les deux sont, par conception, accessibles depuis Internet.
Comme la faille la plus grave ne nécessite aucune authentification, tout équipement exposé sur Internet peut être attaqué directement. Un attaquant qui prend le contrôle de l’équipement peut capturer les identifiants des collaborateurs lors de leur connexion, détourner des sessions déjà ouvertes, et utiliser l’équipement comme point d’entrée vers les systèmes internes.
Pour l’entreprise, cela peut entraîner l’exposition de données clients et la perte de l’accès à distance pendant la reconstruction des systèmes. Cela peut aussi déclencher des obligations de notification envers les régulateurs et les clients.
Une appliance compromise est plus difficile à détecter qu’un ordinateur portable ou un serveur compromis. Les appliances NetScaler ne peuvent pas exécuter de logiciel de détection et réponse aux incidents (EDR), de sorte qu’une activité démarrant sur l’équipement peut ressembler à du trafic normal.
L’installation de la mise à jour arrête de nouvelles attaques exploitant ces failles. Elle ne supprime pas un attaquant déjà entré avant la mise à jour — c’est pourquoi les actions ci-dessous vont au-delà du simple correctif.
Actions pour la direction
| Quand | Action | Responsable | Objectif |
|---|---|---|---|
| Aujourd’hui | Identifier chaque appareil NetScaler, la version qu’elle exécute, et si elle est accessible depuis Internet. Inclure les appareils exploitées par des prestataires pour votre compte | Responsable IT | Confirme votre exposition |
| Sous 24 heures | Mettre à niveau chaque appareil gérée par le client vers une version corrigée, en tant que changement d’urgence | Responsable IT, avec approbation de la direction | Corrige les deux failles exploitées ainsi que les six autres |
| Immédiatement après la mise à niveau | Mettre fin à toutes les sessions utilisateur actives. Changer les mots de passe administrateur ainsi que ceux des comptes de service que NetScaler utilise pour vérifier les connexions auprès de votre annuaire | Responsable IT | Supprime un accès qu’un attaquant pourrait déjà détenir |
| Sous cinq jours ouvrés | Commanditer une évaluation de compromission couvrant au moins les 60 derniers jours de journaux d’appareil et d’activité réseau | Responsable sécurité ou cabinet externe de réponse aux incidents | Établit si quelqu’un est entré avant le correctif |
| Sous cinq jours ouvrés | Confirmer que la console de gestion de l’appareil n’est pas accessible depuis Internet | Responsable IT | Ferme une voie courante vers le contrôle complet de l’appareil |
| Sous cinq jours ouvrés | Déterminer si une obligation réglementaire de notification s’applique, et documenter la décision et son raisonnement | Responsable conformité | Fournit aux régulateurs les preuves qu’ils demanderont |
Appliances sur des versions non supportées. Une version qui ne reçoit plus de mises à jour ne peut pas être corrigée. Ces équipements doivent d’abord être migrées vers une version supportée, ce qui prend plus de temps — identifiez-les donc dès aujourd’hui.
Mesures allant au-delà du bulletin de l’éditeur. Le bulletin n’exige pas de mettre fin aux sessions ni de changer les identifiants. DarkGuard recommande les deux, car les attaquants ayant exploité de précédentes failles NetScaler ont utilisé des sessions et identifiants volés pour conserver leur accès après l’application des correctifs.
Si un prestataire exploite votre accès à distance. La responsabilité du risque reste celle de votre entreprise. Le règlement européen sur la résilience opérationnelle numérique (DORA) l’indique explicitement, et la Financial Conduct Authority (FCA) britannique applique le même principe aux services externalisés. Demandez à votre prestataire de confirmer par écrit quelle version chaque appareil exécute désormais, quand elle a été mise à jour, et ce qu’a révélé sa vérification de compromission.
Questions à poser à votre responsable IT cette semaine
- Combien d’appareils NetScaler possédons-nous, y compris celles exploitées par un prestataire, et certaines fonctionnent-elles sur une version qui ne reçoit plus de mises à jour ?
- Quand chaque appareil sera-t-elle sur une version corrigée, et qui a approuvé le changement ?
- Les sessions actives ont-elles été terminées et les identifiants de l’appareil changés ?
- Qui vérifie si nous avons été compromis avant la mise à jour, et quand aurons-nous ses conclusions ?
- Les éléments trouvés jusqu’ici déclenchent-ils une obligation de notification, et qui est responsable de cette décision ?
Attentes réglementaires
Les régulateurs voudront voir que vous avez agi rapidement après la publication du correctif, et que vous pouvez justifier chaque étape.
| Cadre | S’applique à | Pertinence pour ce sujet |
|---|---|---|
| DORA | Entités financières de l’UE, depuis le 17 janvier 2025 | La gestion du risque technologique doit inclure un correctif rapide. Un incident majeur requiert une notification initiale dans les quatre heures suivant sa classification, et au plus tard 24 heures après en avoir pris connaissance |
| Directive européenne sur la sécurité des réseaux et de l’information (NIS2) | Entités essentielles et importantes, telles que définies par le droit national | La gestion des vulnérabilités est une mesure de sécurité obligatoire. Un incident important requiert une alerte précoce sous 24 heures et une notification d’incident sous 72 heures |
| FCA | Entreprises agréées par la FCA | Les services métier importants doivent rester dans leurs seuils de tolérance. En vertu du Principe 11, vous devez informer la FCA de tout ce qu’elle s’attendrait raisonnablement à savoir, y compris un incident cyber important |
| Autorité fédérale de surveillance des marchés financiers (FINMA) | Établissements supervisés par la FINMA | La circulaire FINMA 05/2020 exige que les cyberattaques affectant des actifs critiques soient signalées sous 24 heures, suivies d’un rapport complet sous 72 heures |
| Règlement général sur la protection des données (RGPD), Royaume-Uni et UE | Toute entreprise traitant des données personnelles | Une violation de données personnelles présentant un risque pour les personnes concernées doit être signalée à l’autorité de protection des données sous 72 heures |
Conservez une trace datée du moment où vous avez pris connaissance du bulletin, de l’approbation du changement, de la mise à jour de chaque équipements, et des résultats de l’évaluation de compromission. Les superviseurs, auditeurs et cyber-assureurs vous les demanderont.
Comment DarkGuard peut vous aider
Une équipe IT interne ou un prestataire peut généralement appliquer la mise à jour. Établir si un attaquant est entré auparavant, et produire une documentation qui résistera à l’examen du conseil et des régulateurs, nécessite souvent un appui spécialisé. DarkGuard propose :
- Évaluation de compromission. Un examen de vos appareils, journaux et activité réseau, avec une conclusion claire sur un éventuel accès et les suites à donner.
- Appui à la remédiation. Planification et séquencement des mises à niveau sur les paires haute disponibilité et les clusters, en coordination avec votre équipe ou votre prestataire, pour maintenir l’accès à distance disponible là où votre configuration le permet.
- Documentation pour le conseil et les régulateurs. Une synthèse prête pour le conseil et un dossier de preuves pour étayer vos décisions de notification au titre de DORA, NIS2, la FCA ou la FINMA.
- Réponse aux incidents. Si nous trouvons des preuves de compromission, notre équipe senior prend en charge le confinement et la remise en état. Elle a mené des missions de réponse aux incidents et des exercices au niveau du conseil pour des organisations valorisées à plus de 220 milliards de dollars, dans la banque, l’assurance, l’énergie et les infrastructures critiques.
Notre mission se termine lorsque chaque appliance est sur une version corrigée et que les preuves sont archivées.
Contactez notre Advisory and Response Desk
Si vous suspectez une compromission, ou souhaitez une évaluation ou des conseils, contactez-nous :
- Suisse : +41 41 560 03 50
- Royaume-Uni : +44 20 4570 6550
- E-mail : incident@darkguard.com
Détails techniques pour les équipes IT et sécurité
Source : bulletin de sécurité Citrix CTX697096, publié le 27 septembre 2026. Le bulletin couvre huit entrées Common Vulnerabilities and Exposures (CVE), de CVE-2026-88771 à CVE-2026-88778.
Vulnérabilités exploitées
- CVE-2026-88771 : exécution de code à distance causée par une validation d’entrée insuffisante. Aucune authentification requise. Affecte tous les déploiements en configuration par défaut. Score Common Vulnerability Scoring System (CVSS) v4.0 : 9,5.
- CVE-2026-88772 : débordement mémoire conduisant à une exécution de code à distance ou un déni de service. Nécessite Datagram Transport Layer Security (DTLS), activé par défaut sur les serveurs virtuels VPN. Score CVSS v4.0 : 9,5
Versions corrigées
- NetScaler ADC et NetScaler Gateway 14.1-73.37 et ultérieures
- NetScaler ADC et NetScaler Gateway 13.1-64.23 et ultérieures
- NetScaler ADC 14.1-FIPS 14.1-73.37 FIPS et ultérieures
- NetScaler ADC 13.1-FIPS et 13.1-NDcPP 13.1-37.279 et ultérieures
Autres vulnérabilités corrigées dans les mêmes versions
- CVE-2026-88773 : contrebande de requêtes HTTP (9,3)
- CVE-2026-88774 : contournement de politique via des expressions d’URL HTTP (7,0)
- CVE-2026-88775 à CVE-2026-88777 : débordements mémoire provoquant un déni de service (8,8 chacune)
- CVE-2026-88778 : prévisibilité du numéro de séquence initial TCP (ISN) (8,8). La mise à niveau seule ne corrige pas ce point. Activez la génération ISN renforcée comme décrit dans la documentation de configuration TCP de NetScaler
Recommandations DarkGuard au-delà du bulletin
- En cas de signes de compromission, capturez une image forensique de l’appliance avant la mise à niveau, car celle-ci peut écraser les preuves. Faites-le en quelques heures afin de ne pas retarder la mise à niveau.
- Après la mise à niveau, mettez fin aux sessions actives. Les commandes publiées par NetScaler pour de précédents incidents incluent
kill aaa session -alletkill icaconnection -all. - Changez le compte de liaison LDAP (Lightweight Directory Access Protocol), les comptes administrateur locaux dont nsroot, ainsi que tous les identifiants stockés dans la configuration.
- Recherchez des fichiers inconnus dans les répertoires exposés au web, des comptes administrateur nouveaux ou modifiés, des tâches planifiées inattendues, et des connexions sortantes depuis l’appliance.
- Les journaux locaux de l’appareil tournent rapidement — récupérez donc les journaux historiques depuis votre plateforme SIEM (Security Information and Event Management) ou votre serveur syslog.
