Citrix a exhorté ses clients à sécuriser immédiatement les appareils NetScaler après la découverte de deux vulnérabilités affectant les solutions d’accès sécurisé à distance NetScaler Gateway et les appareils réseau NetScaler ADC. Le principal risque tient au fait que l’une des vulnérabilités pourrait permettre à des attaquants distants et non autorisés de contourner l’authentification, tandis que la seconde pourrait être exploitée pour mener des attaques par déni de service.
Contournement de l’authentification dans certains cas de configuration
La vulnérabilité la plus grave porte l’identifiant CVE-2026-19490. Elle peut être exploitée par des attaquants non authentifiés afin de contourner l’authentification lorsque l’appareil est configuré comme serveur virtuel AAA ou comme Gateway. Les cas de Gateway concernés comprennent SSL VPN, ICA Proxy, CVPN et RDP Proxy.
La vulnérabilité dépend de la version du micrologiciel et de l’activation ou non de la configuration SAML Action. Les administrateurs peuvent vérifier la présence des conditions associées à la vulnérabilité en examinant la configuration de NetScaler et en recherchant les chaînes suivantes :
- add authentication samlAction .*
- add authentication vserver .*
- add vpn vserver .*
Une autre vulnérabilité pourrait entraîner une interruption du service
La seconde vulnérabilité, identifiée par CVE-2026-19489 et classée comme présentant un risque élevé par Citrix, est une faille de dépassement des limites de mémoire. Des attaquants distants et non authentifiés peuvent l’exploiter dans des attaques par déni de service lorsque la fonction SIP ALG, c’est-à-dire une passerelle d’application du protocole d’initiation de session, est activée dans le cadre de la configuration d’un groupe NAT à grande échelle.
Pour déterminer si la configuration des appareils remplit les conditions d’exploitation, les équipes de sécurité doivent examiner la configuration à la recherche de la chaîne add lsn group.*sipalg.*.
Versions recommandées par Citrix
L’entreprise a recommandé de mettre à niveau les appareils NetScaler ADC et NetScaler Gateway concernés vers l’une des versions suivantes, selon le type de déploiement :
- NetScaler ADC et NetScaler Gateway 14.1-73.32 ou version ultérieure.
- NetScaler ADC et NetScaler Gateway 13.1-63.21 ou version ultérieure.
- NetScaler ADC FIPS 14.1-73.32 FIPS ou version ultérieure.
- NetScaler ADC FIPS et NDcPP 13.1-37.277 ou version ultérieure.
L’alerte concerne les versions prises en charge de NetScaler ADC et NetScaler Gateway gérées par les clients, notamment certaines versions FIPS et NDcPP. Les déploiements de SecurAccess ZTNA Hybrid, anciennement connus sous le nom de Secure Private Access Hybrid, sont également affectés lorsqu’ils utilisent des instances de NetScaler gérées par les clients.
Pourquoi cette alerte est-elle importante ?
Citrix n’a pas encore indiqué que les deux vulnérabilités étaient exploitées dans des attaques réelles, mais l’historique des vulnérabilités précédentes explique l’urgence de la mise à jour. Le 23 mars, l’entreprise a exhorté les administrateurs à corriger les vulnérabilités CVE-2026-3055 et CVE-2026-4368, quelques jours avant que des attaquants ne commencent à les exploiter effectivement. La CISA a ensuite ajouté CVE-2026-3055 à son catalogue des vulnérabilités exploitées connues le 30 mars et a ordonné aux agences fédérales de sécuriser les appareils Citrix concernés dans un délai de trois jours.
Au cours des cinq dernières années, l’agence américaine de cybersécurité a recensé 22 vulnérabilités dans des produits Citrix qu’elle a déclaré avoir été exploitées dans des attaques réelles, dont six également utilisées dans des attaques par rançongiciel. L’organisation ShadowServer surveille actuellement plus de 22 000 instances NetScaler ADC et environ 1 800 instances NetScaler Gateway exposées sur Internet, sans préciser combien d’appareils pourraient être exploitables au moyen des deux nouvelles vulnérabilités.