Le 27 septembre 2026, Citrix a publié un bulletin couvrant huit vulnérabilités de NetScaler ADC et NetScaler Gateway. Il vise les appliances administrées par les clients; les services cloud gérés par Citrix sont mis à jour par le fournisseur. Deux failles, CVE-2026-88771 et CVE-2026-88772, sont critiques et exploitées activement. Le risque diffère selon la configuration : CVE-2026-88771 concerne tous les déploiements, tandis que CVE-2026-88772 nécessite DTLS activé. Elles touchent une frontière d’accès souvent exposée sur Internet : la passerelle qui publie des applications ou des accès distants.
Ce que les avis confirment
CVE-2026-88771 est une faille d’exécution de code à distance sans authentification, notée CVSS 9,5; elle affecte toutes les configurations NetScaler. CVE-2026-88772 est une corruption mémoire également notée 9,5, qui peut mener à une exécution de code ou à un déni de service si DTLS est activé. Cette option est activée par défaut sur les VPN vServer, sauf désactivation explicite. CISA a inscrit les deux CVE à son catalogue KEV et CERT-EU recommande une mise à jour ainsi qu’une recherche de compromission.
Les scores de gravité ne suffisent pas à mesurer le risque ici : l’exploitation active et le rôle de passerelle rendent l’inventaire des équipements plus urgent que l’attente d’un cycle de maintenance ordinaire.
Le périmètre à vérifier
Recensez les appliances NetScaler ADC et Gateway, leurs versions, leurs builds et leur exposition réseau. Incluez les environnements de secours, de test et les instances administrées par un prestataire. Ajoutez les instances NetScaler utilisées dans les déploiements Secure Private Access Hybrid, également concernés selon Citrix. Notez les vServers, profils d’authentification, accès VPN et applications publiées.
Ne concluez pas qu’une instance est hors périmètre parce qu’elle n’est pas utilisée comme VPN : la matrice Citrix et la configuration réelle déterminent l’applicabilité. Vérifiez aussi les règles de filtrage et les chemins d’administration.
Corriger puis rechercher des traces
Pour les branches standard, Citrix indique NetScaler ADC et Gateway 14.1-73.37 et versions ultérieures, ou 13.1-64.23 et versions ultérieures. Pour les variantes FIPS, le seuil est 14.1-73.37 FIPS; pour FIPS et NDcPP en branche 13.1, c’est 13.1-37.279. L’ACSC recommande d’examiner les traces d’exploitation remontant au moins au 4 septembre. Si une compromission est suspectée, vérifiez les indicateurs et préservez les éléments forensiques avant de mettre à jour, car l’opération peut réduire la visibilité. Installez ensuite le build corrigé avec une sauvegarde vérifiée et une procédure de retour.
Après la mise à jour, contrôlez les journaux d’accès, les créations de comptes, les changements de configuration et les processus inattendus. Une mise à jour ne prouve pas qu’une exploitation antérieure n’a pas eu lieu. Faites examiner les indicateurs par l’équipe sécurité ou le prestataire qui administre la passerelle.
Dans son analyse antérieure à la divulgation, Unit 42 rapporte des web shells .deb sous /vpn/scripts/linux/ et un shell PHP dans /var/netscaler/logon/LogonPoint/custom/. Ce sont des traces à rechercher avec les autres indicateurs, pas une preuve isolée; l’activité observée après la divulgation peut différer.
Comptes et secrets à contrôler
Inventoriez les comptes administrateurs, certificats, clés API et secrets utilisés par les applications publiées. Préparez une rotation coordonnée si l’analyse montre une lecture ou une modification de la configuration. Vérifiez également les comptes de secours : ils restent parfois actifs après une migration. Pour organiser les comptes partagés et les règles de rotation, consultez notre guide du partage des mots de passe en équipe et notre guide de politique de mots de passe pour PME.
Cette séquence doit distinguer la correction du logiciel, l’analyse de compromission et la remise en confiance des accès. Une seule de ces étapes ne remplace pas les deux autres.
Le lien avec Soclyde
Soclyde ne corrige pas NetScaler et ne peut pas déterminer si une appliance a été compromise. Il peut aider à conserver les accès d’administration et les secrets de service dans un coffre chiffré local-first, avec des identifiants distincts par usage.
Cette organisation facilite la rotation après l’analyse sans transformer le coffre en outil de détection ou en substitut à la mise à jour Citrix.
À retenir
Deux zero-days NetScaler sont exploités et doivent être traités comme une urgence opérationnelle. Inventoriez les passerelles, appliquez les builds Citrix, recherchez des traces et contrôlez les secrets. Pour préparer une rotation, consultez le générateur de mots de passe sécurisé ou contactez Soclyde.
