Citrix a publié le 8 octobre un bulletin de sécurité demandant aux administrateurs de NetScaler d'appliquer un correctif pour une faille critique susceptible de permettre l'exécution de code à distance ou un déni de service. La vulnérabilité, suivie sous l'identifiant CVE-2026-107406, affiche un score CVSS v4.0 de 9,5.
Tous les appareils NetScaler ne sont pas exposés. Le problème concerne certaines versions de NetScaler ADC et NetScaler Gateway configurées pour gérer l'authentification Security Assertion Markup Language (SAML). Bien que Citrix n'ait pas signalé d'exploitation de cette faille en particulier, sa divulgation intervient après l'exploitation de plusieurs vulnérabilités de NetScaler. Pour les équipes de sécurité, identifier les bonnes versions et les rôles d'authentification constitue la première étape pour combler la brèche.
Qui est concerné par CVE-2026-107406 ?
Citrix identifie le débordement de mémoire comme étant la vulnérabilité CWE-119. Les anciennes versions concernées sont exposées lorsqu'elles sont configurées comme fournisseur de services SAML (SP) ou fournisseur d'identité (IdP). Certaines versions plus récentes sont vulnérables uniquement dans le rôle d'IdP.
Le bulletin de sécurité de l'entreprise détaille les versions concernées et les correctifs disponibles :
Produit | Versions concernées et rôles SAML | Version corrigée |
NetScaler ADC/Gateway 14.1 | Avant 14.1-73.37 : SP ou IdP. Versions 14.1-73.37 à 14.1-73.41 : IdP uniquement | 14.1-73.46 ou ultérieure |
NetScaler ADC/Gateway 13.1 | Avant 13.1-64.23 : SP ou IdP. Versions 13.1-64.23 à 13.1-64.28 : IdP uniquement | 13.1-64.29 ou ultérieure |
NetScaler ADC 14.1-FIPS | Avant 14.1-73.37 FIPS : SP ou IdP. Versions 14.1-73.37 à 14.1-73.41 FIPS incluses : IdP uniquement | 14.1-73.46 FIPS ou ultérieure |
NetScaler ADC 13.1-FIPS/NDcPP | Avant 13.1-37.279 : SP ou IdP. Versions 13.1-37.279 à 13.1-37.282 incluses : IdP uniquement ; vérifiez l'applicabilité selon l'édition dans l'avis de Citrix | 13.1.37.283 ou ultérieure |
Les déploiements Secure Private Access Hybrid utilisant des instances NetScaler concernées doivent également être mis à jour.
Les administrateurs peuvent identifier les configurations SAML en recherchant add authentication samlAction (SP) ou add authentication samlIdPProfile (IdP).
Citrix met à jour ses services cloud gérés et son service Adaptive Authentication géré, mais les clients doivent appliquer eux-mêmes les correctifs à leurs déploiements NetScaler, selon The Register.
Plus de 21 000 adresses IP de NetScaler exposées
BleepingComputer a indiqué que Shadowserver avait identifié plus de 21 000 adresses IP exposées sur Internet présentant des empreintes de NetScaler, dont environ 1 500 instances Gateway et près de 20 000 instances ADC.
Ces chiffres ne permettent toutefois pas de déterminer combien d'appareils ne sont pas corrigés, utilisent des configurations SAML vulnérables ou sont des pots de miel.
The Hacker News a signalé que trois vulnérabilités distinctes, CVE-2026-88771, CVE-2026-88772 et CVE-2026-88779, avaient déjà été exploitées dans des attaques visant NetScaler.
Ces attaques ne doivent pas être confondues avec CVE-2026-107406, pour laquelle Citrix n'a signalé aucun exploit non atténué.
Ce que les équipes de sécurité doivent faire maintenant
Les administrateurs informatiques et de sécurité doivent donner la priorité à trois actions :
- Inventorier les appliances concernées : Identifier les déploiements de NetScaler ADC, Gateway et Secure Private Access Hybrid gérés par les clients.
- Vérifier les configurations : Comparer les versions logicielles avec l'avis de Citrix et vérifier si les paramètres SAML SP ou IdP concernés sont activés.
- Appliquer les correctifs et tester : Installer la version corrigée appropriée, vérifier la mise à niveau et tester l'authentification ainsi que l'accès à distance ensuite.
Pour les organisations qui s'appuient sur NetScaler Gateway pour l'accès à distance, les risques dépassent le cadre d'un seul appareil vulnérable. Une attaque par déni de service pourrait empêcher les employés d'accéder aux applications professionnelles, tandis qu'une exécution de code à distance réussie pourrait compromettre l'appliance elle-même.
Les équipes de sécurité doivent confirmer quelles instances NetScaler utilisent l'authentification SAML, vérifier leurs versions logicielles et appliquer les correctifs appropriés. Elles doivent également s'assurer que les connexions des employés fonctionnent après la mise à niveau.
Bien que Citrix n'ait pas signalé d'exploitation de CVE-2026-107406, les attaques récentes impliquant d'autres vulnérabilités de NetScaler rendent risqué le fait de retarder ces mises à jour.
À lire aussi : Citrix a récemment corrigé une autre vulnérabilité zero-day SAML de NetScaler exploitée lors d'attaques. La faille précédente, CVE-2026-88779, permettait aux attaquants de perturber les systèmes concernés.