Le 27 septembre 2026, NVD a publié six CVE Citrix NetScaler ADC et NetScaler Gateway dans la même heure. Le jour même, la CISA en a ajouté deux à son catalogue KEV, avec une échéance au 30 septembre — trois jours.
La plus grave, CVE-2026-88771, permet à un attaquant non authentifié d'exécuter des commandes arbitraires. Elle est notée 9.8 et elle est exploitée.
Bonne nouvelle : pour une fois, la description NVD donne explicitement les versions corrigées. Un seul passage de version couvre les six CVE.
Les six CVE
| CVE | Nature | CVSS 3.1 | Vecteur | CISA KEV |
|---|---|---|---|---|
| CVE-2026-88771 | Validation d'entrée incorrecte → exécution de commandes | 9.8 CRITICAL | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H | oui (27/09) |
| CVE-2026-88772 | Défaut mémoire → RCE ou déni de service | 8.1 HIGH | AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H | oui (27/09) |
| CVE-2026-88773 | HTTP request smuggling | 10.0 CRITICAL | AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N | non |
| CVE-2026-88775 | Débordement mémoire | 9.8 CRITICAL | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H | non |
| CVE-2026-88776 | Débordement mémoire | 9.8 CRITICAL | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H | non |
| CVE-2026-88777 | Débordement mémoire | 9.8 CRITICAL | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H | non |
Toutes publiées par NVD le 2026-09-27. Échéance CISA pour les deux KEV : 2026-09-30.
Note que la CVE la mieux notée du lot (88773, 10.0) n'est pas au KEV, et que la 8.1 l'est. Le KEV ne dit rien de la gravité théorique : il dit ce qui est effectivement exploité. C'est la colonne à regarder en premier.
CVE-2026-88771 — exécution de commandes sans authentification
Improper input validation vulnerability in Citrix NetScaler ADC and Citrix NetScaler Gateway [...] leading to an unauthenticated attacker to execute arbitrary commands.
Ni compte, ni interaction utilisateur, complexité basse. Sur un NetScaler Gateway, l'interface concernée est par construction exposée à Internet : c'est le point d'entrée des accès distants. Un attaquant qui exécute des commandes sur cet équipement se place au milieu des sessions VPN et ICA, avec accès à la configuration, aux certificats et aux secrets d'annuaire qu'elle contient.
CVE-2026-88772 — défaut mémoire, RCE ou déni de service
NVD ne qualifie pas précisément la classe de faille (la CISA parle de improper restriction of operations within the bounds of a memory buffer). Le vecteur indique AC:H : l'exploitation demande des conditions particulières, d'où le 8.1. Ça n'a pas empêché son exploitation constatée.
CVE-2026-88773 — HTTP request smuggling, 10.0
Le smuggling HTTP naît d'un désaccord entre deux composants sur l'endroit où une requête se termine. Sur un ADC, qui sert de reverse proxy devant les applications, ce désaccord peut permettre de faire passer une requête cachée derrière une autre : contournement des contrôles appliqués en frontal, ou empoisonnement des réponses servies à d'autres utilisateurs. Le S:C traduit cela : l'impact déborde de l'équipement vers les applications qu'il protège.
CVE-2026-88775, 88776, 88777 — débordements mémoire
Trois descriptions quasi identiques : débordement mémoire menant à un « comportement imprévisible ou erroné » ou à un déni de service. NVD les note pourtant à 9.8 avec un impact total en confidentialité et intégrité. Je ne vais pas interpréter au-delà : l'avis Citrix fait foi sur le détail.
Versions
La description NVD donne explicitement les versions avant lesquelles le produit est vulnérable, donc les versions corrigées :
| Produit | Branche | Version corrigée |
|---|---|---|
| NetScaler ADC et Gateway | 14.1 | 14.1-73.37 |
| NetScaler ADC et Gateway | 13.1 | 13.1-64.23 |
| NetScaler ADC FIPS | 14.1 | 14.1-73.37 FIPS |
| NetScaler ADC FIPS et NDcPP | 13.1 | 13.1-37.279 |
NVD écrit la dernière borne tantôt 13.1.37.279, tantôt 13.1-37.279 selon les fiches. Vérifie le build exact dans l'avis Citrix pour ta variante. Les branches non listées (versions en fin de vie) ne sont pas mentionnées par NVD : si tu en fais tourner une, considère-la comme non corrigée.
Détection
- Processus inattendus ou commandes shell lancées hors administration documentée sur l'appliance
- Fichiers récemment modifiés ou ajoutés dans les répertoires web et de configuration, hors mise à jour
- Redémarrages ou crashs du moteur de traitement du trafic : un débordement mémoire exploité, même raté, laisse souvent cette trace
- Comptes, clés SSH ou modifications de configuration récents non tracés dans ton outil de changement
- Côté applications derrière l'ADC : réponses incohérentes ou requêtes que le frontal n'a jamais journalisées
Mitigation
- Passer en 14.1-73.37 ou 13.1-64.23 (ou le build FIPS / NDcPP correspondant) sur chaque appliance, y compris les nœuds secondaires d'un cluster ou d'une paire HA. L'échéance CISA est le 30 septembre.
- Commencer par les Gateway exposés à Internet : c'est là que 88771 se joue.
- Après la mise à jour, envisager de clore les sessions actives pour repartir sur un état propre — pratique courante après les failles mémoire NetScaler passées. Suis l'avis Citrix s'il précise la marche à suivre.
- Restreindre l'interface d'administration (NSIP) aux réseaux d'administration. Elle ne doit jamais être joignable depuis Internet.
- En cas de doute sur une compromission : une mise à jour ne retire pas un accès déjà installé. Revois comptes, clés et configuration, et fais tourner les secrets stockés sur l'équipement (comptes de liaison LDAP, certificats).
Ce n'est pas le premier passage de NetScaler au KEV ce mois-ci : un contournement d'authentification y était entré le 9 septembre, voir notre article sur CVE-2026-19490.
Pourquoi surveiller en continu vos équipements de bordure
Un NetScaler est à la fois exposé à Internet et au cœur de l'authentification des accès distants. Deux KEV le même jour que leur publication, avec trois jours pour corriger, laissent peu de marge à qui doit d'abord retrouver quelles appliances tournent dans quel build.
Avec cveo.tech, inventorie tes équipements de bordure avec leur version exacte, et reçois une alerte dès qu'une CVE au CISA KEV les concerne.