https://cyberveille.ch/tags/watchtowr-vs-citrix-netscaler-cve-2026-88771.py/ Recent content in WatchTowr-vs-Citrix-Netscaler-CVE-2026-88771.py on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Mon, 28 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-28-citrix-netscaler-injection-de-commandes-pre-auth-exploitee-en-zero-day-cve-2026-88771/ Mon, 28 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-28-citrix-netscaler-injection-de-commandes-pre-auth-exploitee-en-zero-day-cve-2026-88771/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 28 septembre 2026 par Sina Kheirkhah de watchTowr Labs, cet article présente l&rsquo;analyse technique détaillée de <strong>CVE-2026-88771</strong>, une vulnérabilité d&rsquo;<strong>injection de commandes pré-authentification</strong> affectant <strong>Citrix NetScaler ADC et NetScaler Gateway</strong>, exploitée activement en zero-day avant la publication de tout correctif.</p> <h2 id="-vulnérabilité-principale--cve-2026-88771">🧩 Vulnérabilité principale : CVE-2026-88771</h2> <ul> <li><strong>Type</strong> : Injection de commandes (Command Injection) pré-authentification</li> <li><strong>CVSS 4.0</strong> : 9.5 (Critique)</li> <li><strong>Configuration affectée</strong> : Configuration par défaut</li> <li><strong>Exploitation in the wild</strong> : Confirmée avant tout patch</li> <li><strong>Composant vulnérable</strong> : Script Perl <code>ns_monuploadd_err.pl</code></li> </ul> <p>Le script Perl utilisait des backticks pour exécuter des commandes shell en interpolant directement des données issues des fichiers de logs, sans validation. Un attaquant pouvait injecter une entrée malveillante dans les logs via une requête HTTP (champ login, User-Agent, paramètres de requête), qui était ensuite exécutée en tant que <strong>root</strong> lors du traitement par le script.</p>