Citrix Bleed 2

Selon DatabreachToday le Service du ministère public des Pays-Bas (Openbaar Ministerie) a entamé une remise en service progressive de ses réseaux, un mois après une cyberattaque l’ayant contraint à mettre ses services hors ligne. L’agence confirme que des pirates ont exploité une vulnérabilité dans un équipement Citrix et affirme qu’aucune donnée n’a été volée ni manipulée. Les systèmes ont été isolés le 17 juillet, à la suite de divulgations de failles touchant les Citrix NetScaler ADC et Gateway. La faille ciblée, Citrix Bleed 2 (CVE-2025-5777), permet de contourner la MFA, d’usurper des sessions et d’accéder sans autorisation. Un avertissement du NCSC-NL en juillet sur des attaques visant cette vulnérabilité a conduit à l’isolement du réseau interne. ...

L’article publié par The Record rapporte que la CISA (Cybersecurity and Infrastructure Security Agency) americaine a fixé un délai d’un jour pour que les agences fédérales corrigent des vulnérabilités connues et exploitées dans Citrix Netscaler. (CVE-2025-5777 aka Citrix Bleed 2) Ce délai est le plus court jamais imposé par l’agence, qui accorde habituellement trois semaines pour de telles actions. La décision de la CISA souligne l’urgence et la gravité des vulnérabilités identifiées, nécessitant une réponse rapide des agences pour prévenir des attaques potentielles. Les détails spécifiques sur les vulnérabilités concernées ne sont pas fournis dans l’extrait, mais l’accent est mis sur l’importance de la réactivité face aux menaces cybernétiques. ...

L’équipe de recherche sur les menaces de ReliaQuest a publié une analyse détaillée sur une nouvelle vulnérabilité critique, CVE-2025-5777, surnommée ‘Citrix Bleed 2’. Cette faille affecte les dispositifs NetScaler ADC et Gateway de Citrix, permettant aux attaquants de détourner des sessions utilisateur et de contourner les mécanismes d’authentification, y compris l’authentification multifacteur (MFA). Bien qu’il n’y ait pas encore de rapports publics d’exploitation, ReliaQuest a observé des indicateurs d’activités malveillantes suggérant que des attaquants exploitent cette vulnérabilité pour obtenir un accès initial. Les signes incluent le détournement de sessions web Citrix, des requêtes LDAP suspectes, et l’utilisation d’outils de reconnaissance comme ‘ADExplorer64.exe’. ...