Une faille notée 9,5 qui exige une configuration précise
Le 9 octobre, Citrix a publié des correctifs pour CVE-2026-107406, un dépassement de mémoire dans NetScaler ADC et NetScaler Gateway qui peut mener à l'exécution de code à distance ou à un déni de service dans des conditions de configuration précises. Elle est notée 9,5 en CVSS v4.0 et classée CWE-119, restriction inadéquate des opérations dans un tampon mémoire.
Citrix dit n'avoir aucune preuve d'exploitation dans la nature, même si The Register note qu'elle n'a pas précisé si la faille avait servi de zero-day avant sa divulgation. Citrix a crédité des chercheurs de l'équipe XOR de JPMorgan Chase et Maxim Suhanov de sa découverte.
La vérification en deux lignes
La faille n'est exploitable que si l'appliance est configurée comme fournisseur d'identité SAML ou comme fournisseur de service, et la configuration indique lequel des deux cas s'applique.
The Hacker News cite deux entrées à chercher. Un fournisseur de service SAML porte une ligne commençant par add authentication samlAction, un fournisseur d'identité SAML une ligne commençant par add authentication samlIdPProfile. Cherchez les deux dans votre configuration enregistrée. Si aucune n'existe, cette condition précise n'est pas remplie, ce qui n'exempte pas l'appliance des autres failles NetScaler décrites plus bas.
Quelles builds sont touchées
Les builds vulnérables dépendent du rôle SAML. Les plus anciennes sont exposées dans les deux rôles, certaines plus récentes seulement comme fournisseur d'identité.
| Branche | Exposée comme SP ou IdP SAML | Exposée seulement comme IdP SAML | Corrigée dans |
|---|---|---|---|
| ADC et Gateway 14.1 | Avant 14.1-73.37 | 14.1-73.37 à 14.1-73.41 | 14.1-73.46 et suivantes |
| ADC 14.1-FIPS | Avant 14.1-73.37 FIPS | 14.1-73.37 FIPS à 14.1-73.41 FIPS | 14.1-73.46 FIPS et suivantes |
| ADC et Gateway 13.1 | Avant 13.1-64.23 | 13.1-64.23 à 13.1-64.28 | 13.1-64.29 et suivantes |
| ADC 13.1-FIPS et 13.1-NDcPP | Avant 13.1-37.279 | 13.1-37.279 à 13.1-37.282 | 13.1-37.283 et suivantes |
Les déploiements Secure Private Access Hybrid qui utilisent des instances NetScaler sont aussi touchés et demandent la même mise à niveau. Citrix gère les mises à jour de ses services cloud gérés et d'Adaptive Authentication, donc il n'y a rien à installer de ce côté, tandis que ceux qui exploitent leurs propres appliances doivent les mettre à niveau.
La même fonction derrière les failles exploitées
The Hacker News énumère trois autres failles NetScaler activement exploitées : CVE-2026-88771, CVE-2026-88772 et CVE-2026-88779. Des chercheurs de Google ont dit qu'une campagne exploitant CVE-2026-88772 durait depuis au moins début septembre, avec des organisations du gouvernement, de la finance, du droit et de l'éducation en Amérique du Nord et en Europe probablement touchées, rapporte The Register. Citrix a divulgué CVE-2026-88779, notée 8,7, le vendredi précédent, et The Register note que celle-ci et la nouvelle faille sont deux dépassements de mémoire touchant des configurations SAML.
Citrix n'a pas indiqué que la nouvelle faille soit exploitée, ce qui est un constat sur aujourd'hui. Comme la même fonction a produit des failles exploitées ces dernières semaines, nous planifierions en supposant que les attaquants lisent aussi cet avis.
Un ordre de priorité pour cette semaine
Faites d'abord la vérification de configuration, car elle répartit vos appliances entre celles à corriger cette semaine et celles qui peuvent attendre le cycle normal.
Les appliances avec une configuration SAML passent en premier, vers 14.1-73.46, 13.1-64.29 ou la build FIPS correspondante, et tout ce qui n'a pas encore les correctifs des trois failles exploitées passe avant celle-ci. Si une mise à niveau est impossible sous 72 heures, limitez en attendant qui peut atteindre les points d'accès SAML.
Traitez ensuite NetScaler comme toute passerelle d'authentification exposée à internet : un responsable nommé, un abonnement aux avis et une fenêtre de correctifs fixe. Citrix a désormais publié un avis critique en plus de trois failles exploitées en quelques semaines, et un cycle mensuel ne couvre pas un schéma pareil.
À lire ensuite: Corrigée en juin, exploitée en août: la faille NetScaler | CitrixBleed revient, exploité en moins d'un jour
