Deux zero-days Citrix NetScaler, trois semaines sans détection, et désormais une exploitation de masse

Citrix a publié un bulletin de sécurité le 27 septembre 2026 couvrant huit vulnérabilités dans NetScaler ADC et NetScaler Gateway, ses contrôleurs de diffusion d'applications et passerelles d'accès à distance. Deux d'entre elles, CVE-2026-88771 et CVE-2026-88772, étaient déjà exploitées comme zero-days avant que le correctif n'existe. Toutes deux portent un score de base CVSS 4.0 de 9,5, au sommet de la bande critique.

À lire aussi: La faille zero-day de Fortinet sur FortiMail permet aux attaquants d'écrire des fichiers sans se connecter · Le zero-day de Cisco SD-WAN Manager laisse les attaquants entrer en administrateur.

Le même jour, l'agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté les deux failles à son catalogue des vulnérabilités exploitées connues, indiquant avoir reçu des signalements et des renseignements de partenaires confirmant que des attaquants les exploitaient dans le monde. Pour les milliers d'organisations qui terminent leurs VPN et accès à distance sur une appliance NetScaler, le message fait écho à CitrixBleed en 2023 : considérez l'équipement de périmètre comme une cible, et ne présumez pas qu'un simple correctif élimine un intrus arrivé avant lui.

Ce que Citrix a divulgué le 27 septembre

Le bulletin, CTX697096, corrige huit CVE. Les deux qui comptent le plus sont les failles exploitées.

CVE-2026-88771 est un défaut de validation des entrées (CWE-20) qui permet à un attaquant non authentifié d'exécuter des commandes arbitraires du système d'exploitation sur l'appliance. Selon Rapid7, il touche les déploiements vulnérables dans leur configuration par défaut, sans fonctionnalité optionnelle requise, et l'éditeur a classé sa complexité d'attaque comme faible. C'est cette combinaison qui a transformé une intrusion ciblée en une chasse automatisée de grande ampleur dès que les détails sont devenus publics.

CVE-2026-88772 est un débordement de mémoire (CWE-119) qui peut mener à une exécution de code à distance ou à un déni de service lorsque DTLS est activé, ce qui est le cas par défaut sur les serveurs virtuels VPN. Citrix a classé sa complexité d'attaque comme élevée, et aucune preuve de concept publique n'avait émergé au moment du rapport de Help Net Security le 29 septembre.

Les six autres CVE, de CVE-2026-88773 à CVE-2026-88778, n'ont pas été signalées comme exploitées. Elles comprennent une faille de contrebande de requêtes HTTP notée 9,3 et plusieurs débordements de mémoire notés 8,8. CVE-2026-88778 est un défaut de numéro de séquence initial TCP prévisible (CWE-342) que la seule mise à niveau ne comble pas : les administrateurs doivent aussi activer la génération ISN renforcée (Enhanced ISN Generation).

Les versions corrigées de Citrix sont 14.1-73.37 et suivantes, 13.1-64.23 et suivantes, 14.1-73.37 FIPS et suivantes, et 13.1-37.279 et suivantes pour les branches 13.1-FIPS et 13.1-NDcPP. Le bulletin ne liste aucun contournement. Sur la branche 13.1, watchTowr conseille d'exécuter d'abord show ns variable, car les appliances avec des variables définies devraient passer à 13.1-64.24 pour éviter une boucle de redémarrage pendant la mise à niveau.

Des semaines d'accès discret avant l'alerte

La divulgation a condensé une chronologie plus longue que ne le suggèrent les dates. Des chercheurs de Mandiant ont déclaré à CyberScoop que la plus ancienne exploitation connue de CVE-2026-88772 a eu lieu le 3 septembre 2026, plus de trois semaines avant que Citrix ne la confirme. Le groupe de renseignement sur les menaces de Google et Mandiant ont ensuite indiqué que la campagne durait au moins depuis début septembre.

Au moment où le bulletin est arrivé, Mandiant a indiqué que des organisations en Amérique du Nord et en Europe, dans les secteurs public, des services financiers, de l'éducation, des télécoms, ainsi que juridique et des services professionnels, avaient probablement été compromises. « Nous avons connaissance de dizaines d'organisations touchées », a écrit le CTO de Mandiant Consulting, Charles Carmakal, sur LinkedIn, attribuant l'activité à des acteurs de la menace avancés et présumés parrainés par un État.

Les intrusions n'étaient pas des coups de main. L'unité 42 de Palo Alto Networks a documenté un shell web PHP empaqueté en .deb qui offrait une exécution de commandes à distance ainsi qu'une exfiltration et un téléversement de fichiers, avec un trafic de commande et contrôle chiffré sous une clé codée en dur. Dans une autre chaîne liée à CVE-2026-88771, les attaquants ont utilisé trois étapes d'empoisonnement de journaux pour faire exécuter un shell PHP par un script Perl de NetScaler, puis ont modifié le httpd.conf d'Apache pour servir le shell sous un nom de fichier ressemblant à une ressource CSS versionnée. Le groupe de renseignement sur les menaces de Google et Mandiant ont ensuite nommé la boîte à outils : WHIPSHOT, un shell web PHP, et SLAPSHOT, un tunnel TCP en Python qui permettait à l'intrus de pivoter vers les réseaux internes, a rapporté The Register.

Rapid7 a indiqué avoir observé des tentatives d'exploitation dès le 20 septembre, dont une commande qui archivait /flash/nsconfig, le répertoire contenant la configuration de l'appareil, les mots de passe administrateur chiffrés, les certificats SSL et les clés privées, et écrivait l'archive dans un chemin servi par le web. Sur une appliance vulnérable, l'archive pouvait être téléchargée sans authentification.

GreyNoise, qui exploite un réseau de capteurs enregistrant le comportement des attaquants, a déclaré avoir intercepté une tentative d'exploitation de CVE-2026-88771 contre une passerelle NetScaler le 24 septembre, trois jours avant la divulgation publique. La tentative a échoué sur le capteur, selon l'entreprise, mais elle a révélé un mode opératoire : obtenir un accès administrateur, cacher un shell web derrière une fausse adresse de feuille de style, effacer les journaux et redémarrer le serveur.

Pourquoi les appliances de périphérie sont toujours visées

Les appliances NetScaler se trouvent à la lisière des réseaux d'entreprise, terminant les VPN et l'accès à distance, équilibrant la charge du trafic et authentifiant les utilisateurs. Une appliance compromise offre à un attaquant un point d'appui que les outils de détection des postes de travail ne voient pas, car l'équipement n'exécute pas d'agent de poste. C'est pourquoi ces produits apparaissent sans cesse dans les campagnes d'exploitation.

L'historique récent est chargé. CVE-2023-4966, connu sous le nom de CitrixBleed, était un débordement de tampon de NetScaler ; CVE-2025-5777, CitrixBleed 2, était une lecture hors limites. Une série de failles a suivi en 2026, dont CVE-2026-19490, que la CISA a ajoutée au KEV le 9 septembre, et CVE-2026-8452, ajoutée le 26 août. Le groupe de renseignement sur les menaces de Google a attribué environ la moitié des zero-days liés aux entreprises en 2025 aux produits de sécurité et de réseau.

L'exposition publique est importante. Censys a déclaré à Help Net Security qu'il détecte environ 42 000 hôtes NetScaler exposés à Internet, les États-Unis en représentant 13 549 (32 %), l'Allemagne 5 678 (13 %), et les Pays-Bas, le Royaume-Uni et la Suisse environ 4 % chacun. Cortex Xpanse de Palo Alto Networks a chiffré à 50 277 le nombre d'instances exposées potentiellement vulnérables au 27 septembre. Le chercheur en sécurité Kevin Beaumont a déclaré que son balayage des versions de micrologiciel avait trouvé moins de 10 % des hôtes exposés corrigés, et qu'il suivait plus de 100 organisations victimes.

Une fois que watchTowr Labs a publié une analyse de la cause racine et une preuve de concept pour CVE-2026-88771, la nature des attaques a changé. Xavier Bellekens, directeur général de la société de leurres Lupovis, a déclaré à Help Net Security que ses capteurs avaient enregistré une exploitation en direct dans les minutes suivant la publication de la PoC. « Si vous exploitez NetScaler et que vous n'avez pas corrigé, partez du principe que vous êtes déjà sondé », a-t-il déclaré.

CERT-EU a publié son propre avis, 2026-014, avec des détails techniques et des pistes de chasse aux menaces, et d'autres CERT nationaux ont émis des alertes. Le passage d'une exploitation privée à un pillage public a pris quelques jours. L'analyse de la cause racine et la PoC sont apparues peu après le correctif, et les scanners ont suivi dans les minutes qui ont suivi. Cette fenêtre resserrée laisse peu de place au déploiement progressif que les grandes entreprises préfèrent habituellement, et c'est désormais le schéma normal pour les produits exposés à Internet plutôt qu'une exception.

« La seule application des correctifs peut ne pas éradiquer l'acteur malveillant de votre environnement. » — Charles Carmakal, CTO de Mandiant Consulting

Ce que les défenseurs doivent faire en premier

Le correctif est nécessaire, mais ce n'est pas la première étape, et il peut ne pas suffire à lui seul. L'alerte de la CISA demande aux organisations de rechercher des signes de compromission avant de corriger, car une mise à jour « peut entraîner une perte de visibilité forensique ». Carmakal a fait la même remarque : examinez les systèmes pour détecter une compromission avant de mettre à niveau, préservez les preuves de shells web ou d'autres fichiers malveillants, et enquêtez sur l'ampleur de l'intrusion. Si un attaquant disposait déjà des droits root, changer le logiciel sous ses pieds supprime le point d'entrée sans éliminer l'intrus.

Les conseils de watchTowr déroulent la séquence : capturez les journaux, un instantané, un paquet de support et un vidage de mémoire (core dump) de chaque appliance exposée ; exécutez l'analyse d'indicateurs de compromission de Citrix ou demandez les indicateurs ; installez la version corrigée ; renouvelez les mots de passe, secrets et certificats stockés sur l'appliance ou utilisés à travers elle ; et gardez les interfaces d'administration hors d'Internet. Comme un NetScaler compromis peut exposer des identifiants VPN et des jetons de session, les intervenants doivent considérer qu'ils sont brûlés, les renouveler et mettre fin aux sessions actives.

Réserves

Quelques limites méritent d'être gardées à l'esprit. L'identité des auteurs des attaques reste inconnue : ni Citrix, ni la CISA, ni Google n'ont attribué publiquement la campagne, et le directeur général de watchTowr, Benjamin Harris, a déclaré à The Register qu'il n'y avait pas de tendance claire parmi les cibles. Le lien entre les deux CVE exploitées n'est pas non plus établi ; GreyNoise a observé des tentatives de CVE-2026-88771 à partir du 24 septembre, tandis que Mandiant a retracé CVE-2026-88772 au 3 septembre, et des chercheurs disent que les deux campagnes peuvent ou non impliquer les mêmes acteurs.

Le script de détection de Citrix a sa propre lacune. L'éditeur a déclaré à Help Net Security qu'il « pourrait ne pas identifier de véritables compromissions », car les attaquants changent de tactique et d'infrastructure. Une analyse propre n'est donc pas une preuve de sécurité. Les chiffres d'hôtes exposés sont des mesures ponctuelles issues de scanners Internet qui ne peuvent pas voir si une appliance donnée est corrigée ou déjà compromise, et le nombre d'organisations victimes est un plancher, pas un total.

Se pose aussi la question de la lenteur de la divulgation. watchTowr a averti publiquement le 26 septembre que des failles RCE non corrigées de NetScaler étaient exploitées, un jour avant la publication de Citrix. Le centre national néerlandais de cybersécurité avait notifié certaines parties en privé plus tôt. Citrix a dit avoir découvert les failles en enquêtant sur des incidents dans des environnements clients, ce qui signifie que l'exploitation et la prise de conscience de l'éditeur ont précédé toute alerte publique.

Ce qu'il faut surveiller

Trois choses montreront jusqu'où cela va. La première est l'apparition éventuelle d'un exploit public pour CVE-2026-88772. CVE-2026-88771 en a déjà un, et c'est ce qui a déclenché le balayage massif actuel ; une deuxième PoC abaisserait la barrière pour la faille plus difficile à exploiter et élargirait le vivier d'attaquants. La deuxième est l'attribution. Si des gouvernements ou des éditeurs nomment un groupe lié à un État, l'incident passe d'une histoire de correctif à une affaire géopolitique. La troisième est le nombre d'organisations compromises qui apparaîtront après coup. Les « dizaines » de Mandiant sont un chiffre précoce, et le décompte des victimes établi par des chercheurs indépendants suggère que le total réel grimpe encore. Les appliances NetScaler tendent aussi à rester en service pendant des années, si bien qu'une partie du parc exposé restera non corrigée longtemps après que l'actualité sera passée, et chacun de ces hôtes est une invitation permanente pour l'acteur qui arrivera en dernier.

Pour l'instant, la consigne pratique est étroite et urgente. Si un NetScaler ADC ou Gateway exposé à Internet n'a pas été mis à jour vers une version corrigée, il doit être considéré comme exposé. S'il a été mis à jour, il mérite encore une vérification de compromission avant que quiconque lui refasse confiance.

Couverture : le siège de Citrix. Photo de Coolcaesar via Wikimedia Commons, CC BY-SA 3.0.