Citrix confirms two NetScaler RCE zero-days exploited in attacks
Mis à jour :
Exploitation active de deux vulnérabilités critiques dans Citrix NetScaler
Citrix a confirmé l’exploitation active de deux vulnérabilités “zero-day” critiques affectant les appliances NetScaler ADC et NetScaler Gateway. Ces failles permettent à des attaquants non authentifiés de prendre le contrôle total des équipements exposés sur Internet, offrant un point d’entrée direct vers les réseaux d’entreprise.
Points clés :
- Risque majeur : Les appliances NetScaler étant situées à la périphérie des réseaux, leur compromission permet une intrusion immédiate sans interaction avec les terminaux internes.
- Alerte proactive : Avant la communication officielle de Citrix, plusieurs agences nationales de cybersécurité et fournisseurs IT avaient alerté les organisations pour qu’elles restreignent l’accès à leurs équipements, suite à des preuves d’exploitation sur le terrain.
- Correction globale : Le correctif publié (bulletin CTX697096) résout un total de huit vulnérabilités, incluant les deux zero-days.
Vulnérabilités identifiées :
- CVE-2026-88771 (Score 9.5) : Vulnérabilité d’exécution de code à distance (RCE) causée par une validation inadéquate des entrées. Elle ne nécessite aucune configuration spécifique pour être exploitée.
- CVE-2026-88772 (Score 9.5) : Vulnérabilité de dépassement de mémoire (memory overflow) pouvant mener à une RCE ou à un déni de service. Elle concerne les instances où le protocole DTLS est activé (paramètre par défaut sur les serveurs VPN).
Recommandations :
- Application des correctifs : Mettre à jour immédiatement les appliances vers les versions corrigées (ex: 14.1-73.37, 13.1-64.23 ou versions ultérieures selon les modèles).
- Réduction de la surface d’attaque : Si le déploiement immédiat des correctifs est impossible, réduire drastiquement l’exposition des appliances sur Internet.
- Surveillance : Les organisations doivent agir rapidement, le risque d’exploitation augmentant avec la disponibilité publique des détails techniques et des correctifs.