Mettez à jour NetScaler contre CVE-2026-88771 et CVE-2026-88772
Citrix signale l’exploitation observée de deux failles critiques sur NetScaler ADC et Gateway administrés par les clients. Les conditions d’exposition diffèrent : CVE-2026-88771 concerne tous les déploiements, y compris la configuration par défaut ; CVE-2026-88772 nécessite l’activation de DTLS.
| CVE | Problème confirmé | Condition d’exposition | Gravité |
|---|---|---|---|
CVE-2026-88771 | Exécution de code à distance sans authentification due à une validation incorrecte des entrées (CWE-20) | Tous les déploiements ADC et Gateway concernés, même par défaut ; aucune fonctionnalité supplémentaire requise | CVSS 4.0 : 9,5 Critique |
CVE-2026-88772 | Dépassement mémoire pouvant entraîner une exécution de code à distance ou un déni de service (CWE-119) | DTLS activé ; Citrix indique qu’il l’est par défaut sur les serveurs virtuels VPN | CVSS 4.0 : 9,5 Critique |
Versions NetScaler concernées et corrigées
Citrix indique que ces branches prises en charge et gérées par les clients sont concernées avant les versions corrigées. Passez à la version indiquée ou à une version ultérieure de la même branche prise en charge. Les déploiements Secure Private Access Hybrid utilisant des instances NetScaler doivent également les mettre à jour. Cloud Software Group met à jour les services cloud gérés par Citrix.
| Branche produit | Versions concernées | Version corrigée |
|---|---|---|
| ADC et Gateway 14.1 | Avant 14.1-73.37 | 14.1-73.37 ou ultérieure |
| ADC et Gateway 13.1 | Avant 13.1-64.23 | 13.1-64.23 ou ultérieure |
| ADC FIPS 14.1 | Avant 14.1-73.37 FIPS | 14.1-73.37 FIPS ou ultérieure |
| ADC FIPS / NDcPP 13.1 | Avant 13.1-37.279 | 13.1-37.279 ou ultérieure |
Vérifiez l’exposition à DTLS pour CVE-2026-88772
CVE-2026-88771 n’a aucune exclusion liée à la configuration : Citrix indique que tous les déploiements concernés sont exposés. Pour CVE-2026-88772, examinez la configuration active et repérez les serveurs virtuels utilisant DTLS. Pour un serveur VPN virtuel, DTLS est considéré comme activé en l’absence de désactivation explicite ; les autres serveurs sont concernés s’ils sont configurés avec le type DTLS. Appliquez la mise à jour complète de Citrix même si DTLS est désactivé, car ce réglage ne corrige pas CVE-2026-88771 ni les autres vulnérabilités du bulletin.
Liste de contrôle de triage et de réponse
- Inventoriez les ADC, Gateway et instances NetScaler gérés par les clients et utilisés dans Secure Private Access Hybrid ; notez la branche et la version de chaque appareil.
- Priorisez toutes les versions concernées : CVE-2026-88771 s’applique sans fonctionnalité spéciale ni configuration non standard.
- Examinez les serveurs virtuels utilisant DTLS pour déterminer l’exposition supplémentaire à CVE-2026-88772 ; ne considérez les restrictions DTLS que comme mesure temporaire si les besoins du service le permettent.
- Installez la version corrigée appropriée et vérifiez la version sur chaque appareil et chaque pair haute disponibilité.
- Une exploitation ayant été observée, recherchez une compromission à l’aide des indicateurs de compromission à jour de Citrix et des recommandations de détection défensive de Google Mandiant ; l’installation du correctif ne prouve pas que l’appareil est sain.
- En cas de compromission suspectée, suivez votre procédure de réponse aux incidents et les consignes du support Citrix avant de remettre l’appareil en service.
- Suivez CVE-2026-88779 séparément : il s’agit d’un déni de service distinct soumis à une condition SAML et pouvant nécessiter une version ultérieure. Consultez l’analyse FlawOpen dédiée.