Numéro : AL26-024
Date : 27 septembre 2026
Mise à jour : 3 octobre 2026

Audience

Cette alerte est destinée aux professionnels de l’informatique et aux gestionnaires.

Objectif :

Une alerte est utilisée pour sensibiliser à une cybermenace récemment identifiée qui pourrait avoir un impact sur les ressources d’information cybernétique, et pour fournir des conseils supplémentaires en matière de détection et d’atténuation aux destinataires.

Détails:

I-Gouvernancia est au courant des vulnérabilités critiques affectant les appliances Citrix NetScaler ADC et NetScaler Gateway. En réponse au bulletin de sécurité des fournisseurs Footnote1 et au blog Footnote2 publiés le 27 septembre 2026, le Centre pour la cybersécurité émet cette alerte afin de sensibiliser aux vulnérabilités et aux rapports d’exploitation active associés.

Suivi sous la référence CVE-2026-88771 Footnote3, cette vulnérabilité est une vulnérabilité de validation d’entrée incorrecte (CWE-20) Footnote4. La vulnérabilité peut permettre à un attaquant distant et non authentifié d’exécuter du code arbitraire sur une appliance NetScaler vulnérable. Une exploitation réussie pourrait entraîner une compromission complète de l’appareil, un accès non autorisé aux applications et aux services, un vol d’identifiants, un mouvement latéral et une compromission supplémentaire des systèmes internes.

Suivi sous la référence CVE-2026-88772 Footnote5, cette vulnérabilité est une vulnérabilité de dépassement de tampon (CWE-119) Footnote6. Une exploitation réussie peut permettre l’exécution de code arbitraire, la corruption de mémoire, des conditions de déni de service ou d’autres comportements involontaires sur les appareils concernés.

Des rapports indiquent que ces vulnérabilités sont exploitées et ont été observées dans plusieurs environnements clients Citrix à travers le monde, bien que l’ampleur totale de cette activité reste inconnue pour le moment.

Le 2 octobre 2026, Citrix a publié des directives Footnote10 concernant un problème nouvellement identifié affectant les déploiements de NetScaler ADC et NetScaler Gateway configurés pour utiliser l’authentification SAML. Selon Citrix, un attaquant distant peut être capable de déclencher une instabilité du système, entraînant des conditions de déni de service, des redémarrages répétés de l’appareil et potentiellement une exploitation supplémentaire.

Ce problème est considéré comme distinct des vulnérabilités CVE-2026-88771 et CVE-2026-88772 décrites dans l’alerte initiale.

Les mises à jour publiées pour traiter CVE-2026-88771 et CVE-2026-88772 ne remédient pas à ce problème nouvellement identifié. Les organisations qui utilisent l’authentification SAML sur des appareils NetScaler doivent examiner leurs déploiements, surveiller les signes d’activité anormale et suivre les directives d’atténuation fournies par CitrixNote de bas de page 10.

De plus, les organisations doivent être conscientes que le correctif seul peut ne pas entièrement remédier aux systèmes précédemment compromis par CVE-2026-88771 et/ou CVE-2026-88772. Si l’exploitation a réussi, les mécanismes de persistance peuvent rester sur les appareils affectés même après l’application des mises à jour. Les organisations sont vivement encouragées à exécuter l’outil de détection NetScaler Console Indicators of Compromise (IOC)Note de bas de page 11 afin d’évaluer si une compromission a eu lieu et de contacter Citrix pour obtenir des instructions supplémentaires et des conseils sur la remédiation.

Actions suggérées

Les organisations doivent examiner le bulletin de sécurité Citrix Footnote1 afin de déterminer si leurs déploiements sont affectés, de donner la priorité à la remédiation des systèmes connectés à Internet et d’enquêter sur les signes de compromission, en particulier lorsque des preuves d’activité suspecte précèdent la publication de correctifs par un fournisseur.

I-Gouvernancia  recommande :

• Contactez Citrix ou son fournisseur de support autorisé dès que possible pour obtenir les dernières directives de sécurité et informations sur la disponibilité des correctifs
• Préserver les preuves médico-légales avant de fermer, redémarrer, corriger, reconstruire ou modifier d’une autre manière les appareils concernés, lorsque cela est possible.
• Conservez les journaux de l’appareil, les enregistrements syslog distants et les journaux NetScaler Console.
• Collectez des offres groupées de support et d’autres informations de diagnostic susceptibles d’aider les futures investigations.
• Examinez les processus en cours d’exécution et les connexions réseau actives pour détecter toute activité suspecte ou inexpliquée.
• Examinez les scripts de démarrage, les tâches planifiées, les répertoires d’applications Web et les emplacements des vidages de plantage pour détecter toute modification non autorisée ou tout indicateur de persistance.
  Conservez les fichiers et configurations suspects avant de les modifier ou de les supprimer.
  Corrélez les résultats avec le pare-feu, le DNS, l’authentification, le point de terminaison et d’autres sources de télémétrie compatibles.
• Enquêtez sur les connexions sortantes inattendues, les accès administratifs inhabituels et les activités suspectes sur les systèmes connectés.
• Examinez la liste ci-jointe des indicateurs de compromission et enquêtez pour trouver des modèles correspondants.
• Suivez les consignes de Citrix en cas de soupçon de compromission, notamment l’isolation des appliances affectées et l’évaluation de l’exposition des identifiants Footnote7.
• Effectuer une évaluation des risques spécifiques à l’organisation en fonction de la criticité des déploiements NetScaler concernés, de toute découverte suspecte et du peu d’informations actuellement disponibles.
• Lorsque cela est opérationnellement possible et justifié par l’évaluation des risques de l’organisation, envisager de désactiver ou d’arrêter temporairement les appliances NetScaler connectées à Internet jusqu’à ce que les directives du fournisseur et les mises à jour de sécurité soient disponibles ; les organisations doivent soigneusement peser les risques de cybersécurité liés à la poursuite des activités par rapport aux impacts opérationnels et commerciaux d’une interruption de service avant de prendre cette mesure.
• Préparez-vous à réinitialiser les identifiants, à invalider les sessions actives et à remplacer les certificats si une compromission est suspectée
• Soyez prêt à reconstruire ou à remplacer les appareils compromis à partir de logiciels de confiance et de configurations reconnues.
• Remarque : Les organisations qui utilisent des configurations évaluées selon les critères communs Footnote8 doivent examiner l’avis de Citrix Footnote1 et appliquer les mises à jour recommandées conformément à leurs exigences en matière de gestion du changement et de certification.
• De plus, le Centre pour la cybersécurité recommande fortement aux organisations d’examiner et de mettre en œuvre les 10 principales mesures de sécurité des TI du Centre pour la cybersécurité Footnote9.
• Consolider, surveiller et défendre les passerelles Internet
• Corriger les systèmes d’exploitation et les applications
• Renforcer les systèmes d’exploitation et les applications
• Isoler les applications Web