Nouvelle alerte rouge pour les administrateurs réseau. Citrix a publié dimanche 27 septembre un bulletin de sécurité listant huit vulnérabilités dans NetScaler ADC et NetScaler Gateway, ses boîtiers chargés de répartir le trafic et de donner un accès distant aux applications d’entreprise. Trois d’entre elles sont jugées critiques, et l’éditeur reconnaît que deux sont déjà attaquées.
Exécution de code à distance sans authentification
La plus grave, CVE-2026-88771, obtient un score CVSS de 9,5 sur 10 : elle permet à un attaquant non authentifié d’exécuter des commandes arbitraires sur l’équipement. CVE-2026-88772, notée elle aussi 9,5, est un dépassement de mémoire pouvant mener soit à une exécution de code, soit à un déni de service. Une troisième faille critique, CVE-2026-88773 (9,3), ouvre la porte au « HTTP request smuggling », une technique qui permet de contourner les contrôles de sécurité placés en frontal des serveurs.
Le reste du lot n’est pas anodin pour autant : trois dépassements de mémoire notés 8,8 peuvent rendre les appareils instables, une autre faille de même gravité concerne la prédiction des numéros de séquence TCP, et un dernier défaut (7,0) permet de contourner certaines politiques de filtrage d’URL.
L’agence américaine de cybersécurité CISA a publié le jour même une alerte, indiquant avoir reçu des rapports confirmant une exploitation active de ces failles « à l’échelle mondiale ». Selon une discussion sur Reddit, au moins un partenaire de Citrix aurait même conseillé à ses clients de déconnecter leurs NetScaler dès samedi, soit la veille de l’annonce officielle.
Un équipement abonné aux alertes
Les versions corrigées du système sont déjà disponibles, et Citrix détaille comment vérifier si un appareil est concerné. Reste à les installer : la mise à jour de ces boîtiers, souvent placés au cœur de l’infrastructure, peut imposer une interruption de service, ce qui pousse certaines organisations à repousser l’opération. Un pari risqué, tant le produit est une cible de choix.
Ce n’est en effet pas une première. Des failles critiques de NetScaler ont été rapidement exploitées en mars 2026, à deux reprises en 2025 et en 2023. De 2020 à 2023, des vulnérabilités de ce produit ont figuré chaque année dans la liste des failles les plus exploitées publiée par les agences de cybersécurité de l’alliance Five Eyes. Pour les entreprises et administrations qui s’appuient sur ces passerelles pour le télétravail ou l’accès à leurs applications, la consigne est donc simple : appliquer les correctifs sans attendre, ou isoler les appareils exposés en attendant de pouvoir le faire.
À lire aussi : iPhone et iPad : Apple corrige une faille zero-day de CoreGraphics déjà exploitée · Une faille zero-day dans PeopleSoft affecte des centaines d’organisations et dérobe des gigaoctets de données
