Nouvelle alerte rouge pour les administrateurs r\u00e9seau. Citrix a publi\u00e9 dimanche 27 septembre un bulletin de s\u00e9curit\u00e9 listant huit vuln\u00e9rabilit\u00e9s dans NetScaler ADC et NetScaler Gateway, ses bo\u00eetiers charg\u00e9s de r\u00e9partir le trafic et de donner un acc\u00e8s distant aux applications d’entreprise. Trois d’entre elles sont jug\u00e9es critiques, et l’\u00e9diteur reconna\u00eet que deux sont d\u00e9j\u00e0 attaqu\u00e9es.<\/p>\n
La plus grave, CVE-2026-88771, obtient un score CVSS de 9,5 sur 10 : elle permet \u00e0 un attaquant non authentifi\u00e9 d’ex\u00e9cuter des commandes arbitraires sur l’\u00e9quipement. CVE-2026-88772, not\u00e9e elle aussi 9,5, est un d\u00e9passement de m\u00e9moire pouvant mener soit \u00e0 une ex\u00e9cution de code, soit \u00e0 un d\u00e9ni de service. Une troisi\u00e8me faille critique, CVE-2026-88773 (9,3), ouvre la porte au \u00ab HTTP request smuggling \u00bb, une technique qui permet de contourner les contr\u00f4les de s\u00e9curit\u00e9 plac\u00e9s en frontal des serveurs.<\/p>\n
Le reste du lot n’est pas anodin pour autant : trois d\u00e9passements de m\u00e9moire not\u00e9s 8,8 peuvent rendre les appareils instables, une autre faille de m\u00eame gravit\u00e9 concerne la pr\u00e9diction des num\u00e9ros de s\u00e9quence TCP, et un dernier d\u00e9faut (7,0) permet de contourner certaines politiques de filtrage d’URL.<\/p>\n
L’agence am\u00e9ricaine de cybers\u00e9curit\u00e9 CISA a publi\u00e9 le jour m\u00eame une alerte, indiquant avoir re\u00e7u des rapports confirmant une exploitation active de ces failles \u00ab \u00e0 l’\u00e9chelle mondiale \u00bb. Selon une discussion sur Reddit, au moins un partenaire de Citrix aurait m\u00eame conseill\u00e9 \u00e0 ses clients de d\u00e9connecter leurs NetScaler d\u00e8s samedi, soit la veille de l’annonce officielle.<\/p>\n
Les versions corrig\u00e9es du syst\u00e8me sont d\u00e9j\u00e0 disponibles, et Citrix d\u00e9taille comment v\u00e9rifier si un appareil est concern\u00e9. Reste \u00e0 les installer : la mise \u00e0 jour de ces bo\u00eetiers, souvent plac\u00e9s au c\u0153ur de l’infrastructure, peut imposer une interruption de service, ce qui pousse certaines organisations \u00e0 repousser l’op\u00e9ration. Un pari risqu\u00e9, tant le produit est une cible de choix.<\/p>\n
Ce n’est en effet pas une premi\u00e8re. Des failles critiques de NetScaler ont \u00e9t\u00e9 rapidement exploit\u00e9es en mars 2026, \u00e0 deux reprises en 2025 et en 2023. De 2020 \u00e0 2023, des vuln\u00e9rabilit\u00e9s de ce produit ont figur\u00e9 chaque ann\u00e9e dans la liste des failles les plus exploit\u00e9es publi\u00e9e par les agences de cybers\u00e9curit\u00e9 de l’alliance Five Eyes. Pour les entreprises et administrations qui s’appuient sur ces passerelles pour le t\u00e9l\u00e9travail ou l’acc\u00e8s \u00e0 leurs applications, la consigne est donc simple : appliquer les correctifs sans attendre, ou isoler les appareils expos\u00e9s en attendant de pouvoir le faire.<\/p>\n
\u00c0 lire aussi :<\/strong> iPhone et iPad : Apple corrige une faille zero-day de CoreGraphics d\u00e9j\u00e0 exploit\u00e9e<\/a> \u00b7 Une faille zero-day dans PeopleSoft affecte des centaines d\u2019organisations et d\u00e9robe des gigaoctets de donn\u00e9es<\/a><\/p>\n <\/p>\n