Failles NetScaler : Citrix corrige 12 vulnérabilités critiques

Les failles NetScaler corrigées par Citrix exposent à un déni de service ou à un contournement d'authentification.

Citrix vient de publier une série de correctifs de sécurité. Ces mises à jour traitent plusieurs failles NetScaler jugées critiques. En effet, 12 vulnérabilités touchent au total les produits NetScaler et le client Secure Access. Les produits concernés sont NetScaler ADC, Citrix NetScaler Gateway et NetScaler Console. Selon l’éditeur, leur exploitation peut donc provoquer un déni de service (DoS) ou un contournement d’authentification.

Ce que Citrix a corrigé dans la gamme NetScaler

Le correctif vise trois produits distincts. D’abord, NetScaler ADC, le contrôleur de livraison d’applications. Ensuite, NetScaler Gateway, qui assure l’accès distant sécurisé. Enfin, NetScaler Console, l’outil d’administration centralisée.

Par ailleurs, le titre du bulletin mentionne aussi des failles dans le client Secure Access. Les utilisateurs de ce client doivent donc eux aussi vérifier leur version. Les détails complets de chaque faille figurent dans l’avis officiel de l’éditeur.

Ainsi, deux types de conséquences ressortent des informations disponibles :

• un déni de service, qui peut rendre le service inaccessible ;
• un contournement d’authentification, qui peut ouvrir l’accès sans identifiants valides.

Ces deux effets sont sérieux pour des équipements placés en bordure de réseau. En effet, ces appliances reçoivent directement le trafic venu d’Internet.

Les failles NetScaler les plus graves

Parmi les vulnérabilités critiques touchant NetScaler ADC et NetScaler Gateway, une se distingue par son score. Il s’agit de CVE-2026-120868, notée 9,3 sur l’échelle CVSS. Elle correspond à une vulnérabilité de dépassement de mémoire. Son intitulé évoque un composant lié à « Packet ».

Un score de 9,3 place cette faille dans la catégorie critique. Par conséquent, elle doit figurer en tête de liste des correctifs à appliquer. Toutefois, les informations dont nous disposons ne détaillent pas toutes les conditions d’exploitation. Il est donc prudent de lire l’avis complet de Citrix. Faites-le avant de planifier l’intervention.

Un dépassement de mémoire peut avoir plusieurs effets. Il peut faire planter un service, ce qui mène au déni de service. Dans d’autres cas, il peut ouvrir la voie à des comportements plus graves. Cependant, l’impact réel dépend de chaque faille et de sa configuration. Il ne faut donc pas extrapoler au-delà de ce que l’éditeur confirme.

Pourquoi ces failles NetScaler inquiètent les équipes

Les produits NetScaler sont des cibles de choix. Ils sont exposés sur Internet et gèrent des accès sensibles. De plus, ils se situent souvent au cœur de l’infrastructure d’une entreprise.

L’histoire récente le rappelle. Par exemple, la faille connue sous le nom de Citrix Bleed, CVE-2023-4966, avait été largement exploitée. Les attaquants s’intéressent donc de près à chaque nouveau bulletin de Citrix. En effet, dès la publication des correctifs, ils peuvent comparer les versions. Ils comprennent ainsi les failles corrigées.

Le contournement d’authentification est particulièrement préoccupant. En effet, il peut permettre d’accéder à une passerelle sans connaître de mot de passe. Une fois à l’intérieur, un attaquant peut ensuite tenter de se déplacer vers d’autres systèmes. Le déni de service, lui, paralyse l’accès distant des collaborateurs. Pour une entreprise en télétravail, l’effet est immédiat.

À ce stade, les éléments transmis ne précisent pas si ces failles sont déjà exploitées. Néanmoins, l’absence d’information ne vaut pas garantie. Mieux vaut donc agir sans attendre.

Recommandations

Les équipes de sécurité devraient suivre une démarche simple et rapide.

1. Inventorier toutes les instances NetScaler ADC, NetScaler Gateway et NetScaler Console, ainsi que les postes équipés du client Secure Access.
2. Identifier les versions installées et les comparer à celles listées dans le bulletin de Citrix.
3. Appliquer les correctifs en priorité sur les équipements exposés à Internet.
4. Restreindre l’accès aux interfaces d’administration, qui ne doivent pas être joignables depuis l’extérieur.
5. Surveiller les journaux à la recherche de connexions inhabituelles ou de redémarrages inexpliqués.

Par ailleurs, une sauvegarde de la configuration avant la mise à jour reste une bonne pratique. Elle permet un retour arrière en cas de problème. Il est également utile de prévoir une fenêtre de maintenance. En effet, certaines mises à jour imposent un redémarrage.

Ce qu’il faut retenir

• Citrix corrige 12 vulnérabilités dans NetScaler et le client Secure Access.
• Les produits NetScaler ADC, NetScaler Gateway et NetScaler Console sont concernés.
• Les risques sont le déni de service et le contournement d’authentification.
• CVE-2026-120868 atteint un score CVSS de 9,3 et relève d’un dépassement de mémoire.
• Par conséquent, les équipements exposés à Internet doivent être mis à jour en priorité.

Source : Citrix Patches 12 NetScaler and Secure Access Client Flaws, Including Authentication Bypass