Citrix corrige une zero-day NetScaler SAML exploitée, potentiellement en RCE

🔍 Contexte

Source : BleepingComputer — Publié le 4 octobre 2026. Citrix a publié des mises à jour d’urgence pour corriger une vulnérabilité zero-day identifiée comme CVE-2026-88779, affectant les appliances NetScaler ADC et NetScaler Gateway configurées avec l’authentification SAML (en mode SP ou IdP).

🛡️ Détails de la vulnérabilité

• Type : Faille de buffer mémoire (memory buffer overflow)
• Score CVSS : 8.7
• Impact déclaré : Déni de service (DoS) — disponibilité du service affectée
• Préconditions : Appliance configurée avec add authentication samlAction (SAML SP) ou add authentication samlIdPProfile (SAML IdP)
• Versions corrigées :
  • NetScaler ADC et Gateway 14.1-73.41 et 13.1-64.28
  • FIPS : 14.1-73.41 FIPS et 13.1-37.282

⚠️ Exploitation observée

Des administrateurs NetScaler ont signalé des redémarrages forcés répétés sur des appliances pourtant patchées (version 14.1-73.37). Le processus nsaaad crashait de manière répétée jusqu’à ce que le processus Pitboss atteigne sa limite de redémarrage et redémarre l’appliance.

Un administrateur a identifié dans les logs des noms d’utilisateur d’authentification contenant des commandes shell tentant de télécharger un payload depuis l’adresse IP 213.209.159[.]55, de le sauvegarder sous /v et de l’exécuter. Ces requêtes précédaient des séquences de crash confirmées de nsaaad.

Le chercheur Kevin Beaumont a confirmé que des honeypots NetScaler patchés (versions 13.1 et 14.1) crashaient après réception de requêtes depuis plusieurs IP sources, et qu’un honeypot exécutait un binaire malveillant téléchargé. Il a qualifié l’activité de potentiel nouveau « PitScaler » et de campagne de type « spray and pray ».

La société watchTowr Labs a également confirmé avoir reproduit la vulnérabilité.

📋 Réponse institutionnelle

• Citrix a publié un avis de sécurité et un billet de blog confirmant des attaques ciblées sur des déploiements non mitigés.
• CISA a ajouté CVE-2026-88779 à son catalogue Known Exploited Vulnerabilities (KEV) le dimanche 4 octobre 2026, avec une échéance de remédiation au 7 octobre 2026 pour les agences FCEB.
• Citrix fournit également des Global Deny Lists pour bloquer les IP malveillantes connues.
• Les organisations ayant récemment patché pour CVE-2026-88771 à CVE-2026-88778 doivent effectuer une nouvelle mise à jour.

📌 Type d’article

Article de presse spécialisée combinant alerte de sécurité et analyse technique, visant à informer les administrateurs NetScaler de l’existence d’une zero-day activement exploitée et des mesures de remédiation disponibles.

🧠 TTPs et IOCs détectés

TTP

• T1190 — Exploit Public-Facing Application (Initial Access)
• T1059 — Command and Scripting Interpreter (Execution)
• T1499 — Endpoint Denial of Service (Impact)
• T1105 — Ingress Tool Transfer (Command and Control)

IOC

• IPv4 : 213.209.159.55 — AbuseIPDB · VT · ThreatFox
• CVEs : CVE-2026-88779 — NVD · CIRCL
• CVEs : CVE-2026-88771 — NVD · CIRCL
• CVEs : CVE-2026-88778 — NVD · CIRCL
• CVEs : CVE-2025-6543 — NVD · CIRCL
• Chemins : /v

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 5 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟢 Indice de vérification factuelle : 73/100 (haute)

• ✅ bleepingcomputer.com — source reconnue (liste interne) (20pts)
• ✅ 6340 chars — texte complet (15pts)
• ✅ 6 IOCs (IPs/domaines/CVEs) (10pts)
• ✅ 1/1 IOC(s) confirmé(s) (AbuseIPDB, ThreatFox, VirusTotal) (8pts)
• ✅ 4 TTPs MITRE identifiées (15pts)
• ⬜ date RSS ou approximée (0pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ✅ 4/4 CVE(s) confirmée(s) (CIRCL) (5pts)

IOCs confirmés externellement :

• 213.209.159.55 (ip) → VT (12/91 détections) + ThreatFox (Unknown malware)

🔗 Source originale : https://www.bleepingcomputer.com/news/security/citrix-patches-netscaler-saml-zero-day-exploited-in-attacks/

🖴 Archive : https://web.archive.org/web/20261004220728/https://www.bleepingcomputer.com/news/security/citrix-patches-netscaler-saml-zero-day-exploited-in-attacks/