CVE-2025-5777

🔍 Contexte Article publié le 16 avril 2026 par Picus Security, analysant en détail deux nouvelles vulnérabilités affectant Citrix NetScaler ADC et NetScaler Gateway, surnommées collectivement « CitrixBleed 3 » par la communauté sécurité. 🚨 Vulnérabilités identifiées CVE-2026-3055 (CVSS v4.0 : 9.3 — Critique) est une lecture hors limites (CWE-125) non authentifiée affectant les appliances configurées en tant que SAML Identity Provider. Elle expose via le cookie NSC_TASS des données mémoire encodées en base64 incluant tokens de session, assertions SAML et credentials LDAP. ...

🔍 Contexte Publié le 16 avril 2026 par Sophos, cet article documente l’abus actif de QEMU (émulateur open-source) par des acteurs malveillants pour dissimuler leurs activités au sein d’environnements virtualisés, contournant ainsi les contrôles de sécurité des endpoints. 🎯 Campagne STAC4713 (depuis novembre 2025) Associée au groupe GOLD ENCOUNTER et au ransomware PayoutsKing, cette campagne utilise QEMU comme backdoor SSH inversé covert : Persistance : tâche planifiée nommée TPMProfiler lançant qemu-system-x86_64.exe sous le compte SYSTEM Déguisement : image disque masquée en vault.db puis en bisrv.dll (janvier 2026) Port forwarding vers les ports 32567, 22022 → port 22 (SSH) VM Alpine 3.22.0 contenant : AdaptixC2 (tinker2), wg-obfuscator, BusyBox, Chisel, Rclone Vol de credentials : copie de NTDS.dit, ruches SAM et SYSTEM via VSS et commande print sur SMB Accès initial : VPN SonicWall exposés sans MFA, puis exploitation de CVE-2025-26399 (SolarWinds Web Help Desk) Évolution en février 2026 : abandon de QEMU, accès via VPN Cisco SSL, ingénierie sociale via Microsoft Teams/QuickAssist, sideloading d’un payload Havoc C2 (vcruntime140_1.dll) via ADNotificationManager.exe, exfiltration via Rclone vers SFTP. ...

📋 Contexte : Le CERT-EU, service de cybersécurité des institutions, organes et agences de l’Union européenne, publie le 8 avril 2026 son rapport annuel sur le paysage des menaces cyber pour l’année 2025 (TLP:CLEAR). Ce rapport s’appuie sur l’analyse des activités malveillantes d’intérêt (MAI) collectées tout au long de 2025, avec une expansion significative de l’usage de l’automatisation et de l’IA dans les processus de surveillance. 🎯 Acteurs et origines : En 2025, 174 acteurs malveillants distincts ont été identifiés (contre 110 en 2024). Les activités liées à la Chine représentent 37% des MAI attribuées, suivies par la Russie (32%), la Corée du Nord (11%) et l’Iran (7%). Les acteurs liés à la Chine ont principalement exploité des vulnérabilités et des compromissions de chaîne d’approvisionnement. Les acteurs liés à la Russie ont ciblé prioritairement les entités soutenant l’Ukraine. ...

Cette page présente les vulnérabilités les plus discutées sur les sources publiques (Fediverse, Bluesky, GitHub, blogs) sur la période analysée. Période analysée : 2026-03-01 → 2026-04-01. Les données sont collectées via Vulnerability-Lookup (CIRCL) et enrichies automatiquement afin d’aider à la priorisation de la veille et de la remédiation. 📌 Légende : CVSS : score officiel de sévérité technique. EPSS : probabilité d’exploitation observée. VLAI : estimation de sévérité basée sur une analyse IA du contenu de la vulnérabilité. CISA KEV : vulnérabilité activement exploitée selon la CISA. seen / exploited : signaux observés dans les sources publiques. CVE-2026-3055 CVSS: N/A EPSS: 36.74% VLAI: Medium (confidence: 0.6235) CISA: KEV ProduitNetScaler — ADC Publié2026-03-23T20:21:27.107Z Insufficient input validation in NetScaler ADC and NetScaler Gateway when configured as a SAML IDP leading to memory overread ...

Cette page présente les vulnérabilités les plus discutées sur les sources publiques (Fediverse, Bluesky, GitHub, blogs) sur la période analysée. Période analysée : 2026-01-01 → 2026-02-01. Les données sont collectées via Vulnerability-Lookup (CIRCL) et enrichies automatiquement afin d’aider à la priorisation de la veille et de la remédiation. 📌 Légende : CVSS : score officiel de sévérité technique. EPSS : probabilité d’exploitation observée. VLAI : estimation de sévérité basée sur une analyse IA du contenu de la vulnérabilité. CISA KEV : vulnérabilité activement exploitée selon la CISA. seen / exploited : signaux observés dans les sources publiques. CVE-2026-21858 CVSS: 10.0 EPSS: 4.30% VLAI: Critical (confidence: 0.8622) Produitn8n-io — n8n Publié2026-01-07T23:57:52.079Z n8n is an open source workflow automation platform. Versions starting with 1.65.0 and below 1.121.0 enable an attacker to access files on the underlying server through execution of certain form-based workflows. A vulnerable workflow could grant access to an unauthenticated remote attacker, resulting in exposure of sensitive information stored on the system and may enable further compromise depending on deployment configuration and workflow usage. This issue is fixed in version 1.121.0. ...

Période analysée : les 7 derniers jours sur le Fediverse. Données collectées via CVE Crowd et enrichies avec les données CIRCL / Vulnerability-Lookup (EPSS, VLAI Severity). 📌 Légende : CVSS : Score de sévérité officielle. EPSS : Probabilité d’exploitation (Exploit Prediction Scoring System). VLAI : Score NLP open-source de sévérité estimée (IA). Poids social : Importance dans le Fediverse. CVE-2025-5777 [CVSS 9.3 🟥] [VLAI High 🟧] Produit : NetScaler ADC Score CVSS : 9.3 🟥 EPSS : 0.55194 🟧 VLAI : High 🟧 Poids social (Fediverse) : 910.5 Description : Validation insuffisante des entrées entraînant une lecture mémoire excessive lorsque le NetScaler est configuré en tant que passerelle (serveur virtuel VPN, proxy ICA, CVPN, proxy RDP) OU serveur virtuel AAA. Date de publication officielle : 17 June 2025 à 12h29 Posts Fediverse (13 trouvés) 🗨️ 二本松哲也 – n/d Amazonが発見したAPTによるCisco／Citrixゼロデイ攻撃 AWSのMadPotハニーポットは、Citrix Bleed2（CVE-2025-5777）の公表前攻撃を検知。 その解析過程で、Cisco ISEの未公開エンドポイントを狙うデシリアライズ脆弱性（CVE-2025-20337）を突いた不審ペイロードを特定。 これにより、攻撃者は認証不要で管理者権限を取得できる状況にありました。 ...

BleepingComputer rapporte, sur la base d’un rapport partagé par Amazon Threat Intelligence et de données du honeypot MadPot, qu’un acteur avancé a exploité en zero-day deux failles critiques dans Citrix NetScaler et Cisco ISE pour déployer un malware personnalisé. • Les vulnérabilités exploitées sont Citrix Bleed 2 (CVE-2025-5777) dans NetScaler ADC et Gateway (lecture hors limites), et CVE-2025-20337 dans Cisco Identity Services Engine (ISE) (désérialisation vulnérable). Amazon indique que les tentatives d’exploitation de Citrix Bleed 2 ont été observées avant la divulgation publique et les correctifs; une charge anormale visant un endpoint ISE non documenté a aussi été identifiée et signalée à Cisco. ...

Période analysée : les 7 derniers jours sur le Fediverse. Données collectées via CVE Crowd et enrichies avec les données CIRCL / Vulnerability-Lookup (EPSS, VLAI Severity). 📌 Légende : CVSS : Score de sévérité officielle. EPSS : Probabilité d’exploitation (Exploit Prediction Scoring System). VLAI : Score NLP open-source de sévérité estimée (IA). Poids social : Importance dans le Fediverse. CVE-2024-3094 [CVSS 10.0 🟥] [VLAI Critical 🟥] Produit : xz Score CVSS : 10.0 🟥 EPSS : 0.86124 🟧 VLAI : Critical 🟥 Poids social (Fediverse) : 345.0 Description : Un code malveillant a été découvert dans les archives sources (tarballs) en amont de xz, à partir de la version 5.6.0. Par une série d’obfuscations complexes, le processus de compilation de liblzma extrait un fichier objet précompilé à partir d’un fichier de test déguisé présent dans le code source. Ce fichier objet est ensuite utilisé pour modifier des fonctions spécifiques du code de liblzma. Cela aboutit à une bibliothèque liblzma modifiée qui peut être utilisée par tout logiciel lié à cette bibliothèque, interceptant et modifiant les échanges de données avec celle-ci. Date de publication officielle : 29 mars 2024 à 16h51 Posts Fediverse (3 trouvés) 🗨️ nemo™ 🇺🇦 – n/d 🚨 Security Alert: Docker Hub still hosts 35+ Linux images compromised with the XZ-Utils backdoor (CVE-2024-3094). This stealthy backdoor can bypass SSH auth & allow root access if exploited. Users urged to avoid outdated images and update to xz-utils 5.6.2+ ASAP! 🔒🐳 #CyberSecurity #Linux #DockerHub https://www.bleepingcomputer.com/news/security/docker-hub-still-hosts-dozens-of-linux-images-with-the-xz-backdoor/#newz ...

Selon DatabreachToday le Service du ministère public des Pays-Bas (Openbaar Ministerie) a entamé une remise en service progressive de ses réseaux, un mois après une cyberattaque l’ayant contraint à mettre ses services hors ligne. L’agence confirme que des pirates ont exploité une vulnérabilité dans un équipement Citrix et affirme qu’aucune donnée n’a été volée ni manipulée. Les systèmes ont été isolés le 17 juillet, à la suite de divulgations de failles touchant les Citrix NetScaler ADC et Gateway. La faille ciblée, Citrix Bleed 2 (CVE-2025-5777), permet de contourner la MFA, d’usurper des sessions et d’accéder sans autorisation. Un avertissement du NCSC-NL en juillet sur des attaques visant cette vulnérabilité a conduit à l’isolement du réseau interne. ...

Période analysée : les 7 derniers jours sur le Fediverse. Données collectées via CVE Crowd, un magnifique agrégateur de vulnérabilités discutées sur le Fediverse. CVE-2025-6543 Produit : NetScaler ADC Score CVSS : 9.2 (CRITICAL) Poids social : 720.0 (posts: 7, utilisateurs: 2) Description : “Vulnérabilité de débordement de mémoire entraînant un contrôle de flux non intentionnel et un déni de service dans NetScaler ADC et NetScaler Gateway lorsqu’ils sont configurés en tant que Gateway (serveur virtuel VPN, Proxy ICA, CVPN, Proxy RDP) OU serveur virtuel AAA” Date de publication : 2025-06-25T12:49:58Z Posts Fediverse (7 trouvés) 🗨️ gmmds (mastodonapp.uk) – 2025-07-23T06:32:51Z @gmmds sur mastodonapp.uk 🕒 2025-07-23T06:32:51Z Judging from this https://www.ncsc.nl/actueel/nieuws/2025/07/22/casus-citrix-kwetsbaarheid the Dutch Cyber Defence Center is most worried about cve-2025-6543 at the moment. IOC Detection script provided here: https://github.com/NCSC-NL/citrix-2025 #citrixbleed2 ...