Citrix NetScaler

🔍 Contexte Publié le 29 septembre 2026 par watchTowr Labs (https://labs.watchtowr.com), cet article constitue la deuxième partie d’une série d’analyses portant sur un bulletin Citrix (CTX697096) corrigeant huit vulnérabilités dans Citrix NetScaler ADC et NetScaler Gateway. Il fait suite à une analyse du CVE-2026-88771 publiée la veille. 🎯 Vulnérabilité analysée : CVE-2026-88772 CVE-2026-88772 est un débordement mémoire (memory overflow) dans le traitement DTLS, affectant le composant préauthentification de NetScaler. Il présente un score CVSS de 9.5 (Critical) et a été exploité en zero-day dans la nature. ...

🔍 Contexte Publié le 28 septembre 2026 par Sina Kheirkhah de watchTowr Labs, cet article présente l’analyse technique détaillée de CVE-2026-88771, une vulnérabilité d’injection de commandes pré-authentification affectant Citrix NetScaler ADC et NetScaler Gateway, exploitée activement en zero-day avant la publication de tout correctif. 🧩 Vulnérabilité principale : CVE-2026-88771 Type : Injection de commandes (Command Injection) pré-authentification CVSS 4.0 : 9.5 (Critique) Configuration affectée : Configuration par défaut Exploitation in the wild : Confirmée avant tout patch Composant vulnérable : Script Perl ns_monuploadd_err.pl Le script Perl utilisait des backticks pour exécuter des commandes shell en interpolant directement des données issues des fichiers de logs, sans validation. Un attaquant pouvait injecter une entrée malveillante dans les logs via une requête HTTP (champ login, User-Agent, paramètres de requête), qui était ensuite exécutée en tant que root lors du traitement par le script. ...

🔍 Contexte Publié le 14 août 2026 par Sina Kheirkhah (@sinsinology) sur watchTowr Labs, cet article présente une analyse technique approfondie d’une vulnérabilité heap overflow pré-authentifiée affectant Citrix NetScaler ADC et NetScaler Gateway, corrigée dans un récent bulletin de sécurité Citrix. 🐛 Vulnérabilité La vulnérabilité, supposée être CVE-2026-8452, réside dans le binaire nsppe (moteur de traitement de paquets NetScaler) lors du traitement SAML. Plus précisément : Lors de la canonicalisation de l’élément <ds:SignedInfo>, les données contrôlées par l’attaquant sont copiées dans un buffer global de taille fixe sans vérification de taille L’attribut PrefixList de l’élément <ec:InclusiveNamespaces> peut contenir une chaîne arbitrairement longue (valeurs uniques séparées par des espaces) Un débordement de ce buffer corrompt les métadonnées du chunk NSB (NetScaler Buffer) adjacent dans le pool mémoire Versions affectées : ...

🔍 Contexte Publié le 30 mars 2026 par watchTowr Labs, cet article constitue la Partie 2 d’une analyse de la vulnérabilité CVE-2026-3055 affectant Citrix NetScaler. Les chercheurs ont découvert que ce CVE unique couvre en réalité au moins deux vulnérabilités distinctes de type memory overread. 🐛 Vulnérabilités identifiées Les deux endpoints affectés sont : /saml/login (analysé en Partie 1) /wsfed/passive?wctx (objet de cet article) La seconde vulnérabilité est déclenchée par une requête GET vers /wsfed/passive?wctx où le paramètre wctx est présent dans la query string mais sans valeur ni symbole =. Le système vérifie uniquement la présence du paramètre sans valider l’existence de données associées, ce qui provoque un accès à de la mémoire morte (dead memory). ...

🔍 Contexte Publié le 30 mars 2026 par The Cyber Express, cet article couvre la divulgation de CVE-2026-3055, une vulnérabilité critique affectant les appliances Citrix NetScaler ADC et NetScaler Gateway. Le bulletin de sécurité officiel CTX696300 a été créé le 23 mars 2026 et modifié le 27 mars 2026. ⚠️ Détails de la vulnérabilité CVE-2026-3055 : Score CVSS 9.3 (critique), classée sous CWE-125 (Out-of-bounds Read / Memory Overread) Causée par une validation insuffisante des entrées, permettant à un attaquant non authentifié d’accéder à des zones mémoire non prévues et potentiellement d’exposer des données sensibles L’exploitation nécessite que l’appliance soit configurée en tant que SAML IDP (Identity Provider) Identifiée en interne par Citrix lors de revues de sécurité 🎯 Versions affectées NetScaler ADC / Gateway 14.1 avant 14.1-60.58 NetScaler ADC / Gateway 13.1 avant 13.1-62.23 NetScaler ADC 13.1-FIPS et 13.1-NDcPP avant 13.1-37.262 🔗 Vulnérabilité secondaire CVE-2026-4368 : Score CVSS 7.7, race condition entraînant des mélanges de sessions utilisateurs, affecte uniquement la version 14.1-66.54 avec des configurations Gateway ou AAA virtual servers 🕵️ Activité des acteurs malveillants Des efforts de reconnaissance active ont été observés peu après la divulgation publique. Les acteurs malveillants scannent les systèmes pour identifier ceux configurés en SAML IDP, condition préalable à l’exploitation, avant de lancer une attaque complète. ...

Selon blog.checkpoint.com (Amit Weigman, Office of the CTO, 2 septembre 2025), des chercheurs analysent Hexstrike‑AI, un framework d’orchestration IA pensé pour le « red teaming » et la recherche, mais rapidement détourné par des acteurs malveillants pour viser des zero‑days Citrix NetScaler révélés le 26/08. ⚠️ Le billet explique que Hexstrike‑AI fournit un « cerveau » d’orchestration reliant des LLM (Claude, GPT, Copilot) à plus de 150 outils de sécurité. Au cœur du système, un serveur FastMCP et des MCP Agents exposent les outils sous forme de fonctions appelables, permettant aux agents IA d’exécuter de manière autonome des tâches comme la découverte, l’exploitation, la persistence et l’exfiltration. Des fonctions standardisées (ex. nmap_scan) et un mécanisme de traduction d’intention en exécution (ex. execute_command) automatisent l’enchaînement des actions, avec retries et reprise pour la résilience. 🤖 ...

Selon GBHackers Security, la CISA a publié une alerte urgente après avoir détecté l’exploitation active d’une vulnérabilité critique de type exécution de code à distance (RCE) touchant les appareils Citrix NetScaler. Identifiant: CVE‑2025‑7775 Nature de la faille: dépassement de mémoire (memory overflow) dans le sous-système de gestion du trafic de NetScaler Statut: 0‑day activement exploité et ajouté récemment au catalogue Known Exploited Vulnerabilities (KEV) de la CISA Impact et portée: la vulnérabilité permet potentiellement une exécution de code à distance sur les appareils concernés, indiquant une menace immédiate en raison de l’exploitation en cours. ...

Selon DoublePulsar (29/08/2025), s’appuyant sur un rapport du NCSC des Pays‑Bas, la vulnérabilité CVE‑2025‑6543 affectant Citrix NetScaler a été activement exploitée en zero‑day depuis début mai 2025, bien avant le correctif publié fin juin. Bien que décrite par Citrix comme un simple problème de déni de service, elle permet en réalité l’exécution de code à distance (RCE) et a conduit à des compromissions étendues, notamment d’organismes gouvernementaux et de services juridiques. Citrix aurait fourni sur demande un script de vérification, sous conditions particulières, sans expliquer pleinement la situation, et le script serait incomplet. ...

Source: BleepingComputer — Le NCSC des Pays-Bas (NCSC-NL) alerte sur l’exploitation de la vulnérabilité critique CVE-2025-6543 affectant Citrix NetScaler, ayant conduit à des intrusions au sein d’organisations critiques aux Pays-Bas. ⚠️ L’avertissement signale une exploitation active d’une faille critique dans les appliances Citrix NetScaler. Selon le NCSC-NL, cette vulnérabilité a été utilisée pour compromettre des organisations considérées comme critiques dans le pays. Points clés: Vulnérabilité: CVE-2025-6543 (critique) Produit concerné: Citrix NetScaler Statut: Exploitation active confirmée Impact: Intrusions au sein d’organisations critiques aux Pays-Bas Source de l’alerte: NCSC des Pays-Bas Conclusion: article de presse spécialisé relayant une alerte de sécurité visant à informer d’une exploitation en cours d’une faille critique touchant Citrix NetScaler. ...

L’actualité publiée par Forescout met en lumière une augmentation significative des attaques sur les appareils d’infrastructure réseau interne, avec une hausse des exploits passant de 3% en 2022 à 14% en 2024. Des vulnérabilités critiques ont été découvertes dans les appareils Citrix NetScaler (CVE-2025-6543, CVE-2025-5777) et Cisco ISE (CVE-2025-20281, CVE-2025-20282, CVE-2025-20337), démontrant un changement de tactique des attaquants, qui passent d’une exploitation uniquement axée sur le périmètre à une exploitation des appareils internes au réseau. ...