Citrix confirme deux failles zero-day NetScaler activement exploitées dans le monde entier

Citrix a confirmé le 27 septembre que deux vulnérabilités critiques d'exécution de code à distance dans ses produits NetScaler ADC et NetScaler Gateway sont activement exploitées dans des attaques à travers le monde, et a publié des versions corrigées le jour même. Les deux failles, répertoriées sous CVE-2026-88771 et CVE-2026-88772, ont un score de gravité CVSS v4 de 9,5 sur 10. La CISA a ajouté les deux à son catalogue de vulnérabilités exploitées connues et a émis une alerte exhortant à un correctif immédiat.

Pourquoi ces deux failles sont si dangereuses

CVE-2026-88771 est une vulnérabilité de validation d'entrée incorrecte qui permet à un attaquant non authentifié d'exécuter des commandes arbitraires sur l'appareil. De manière critique, elle affecte tout déploiement NetScaler ADC et NetScaler Gateway exécutant une version affectée, y compris les installations laissées en configuration par défaut.

CVE-2026-88772 est une vulnérabilité de dépassement de mémoire qui peut entraîner une exécution de code à distance ou un déni de service, mais uniquement lorsque DTLS est activé sur l'appareil. Comme DTLS est activé par défaut pour les serveurs virtuels VPN, la grande majorité des déploiements réels de NetScaler Gateway remplissent cette condition préalable.

Pourquoi NetScaler est une cible si précieuse

Les appareils NetScaler sont presque toujours déployés comme des dispositifs de périphérie exposés à internet, situés à la frontière d'un réseau d'entreprise pour gérer l'accès à distance et la livraison d'applications. Ce positionnement est exactement ce qui les rend attrayants pour les attaquants.

Ce que les organisations doivent faire maintenant

Citrix a publié des versions corrigées traitant les deux vulnérabilités, et l'avis de la CISA fixe un délai de correction obligatoire pour les agences fédérales américaines. Pour toute organisation exécutant NetScaler ADC ou NetScaler Gateway, la recommandation pratique des chercheurs en sécurité est directe : corriger immédiatement.