Faille NetScaler : sécuriser vos accès distants

Une nouvelle faille NetScaler, CVE-2026-107406, permet l’exécution de code à distance sur les passerelles Citrix configurées en SAML, et l’éditeur demande de corriger immédiatement. Aucune exploitation n’est encore constatée, mais les précédentes failles critiques du produit ont été exploitées quelques jours après leur publication : le correctif doit passer maintenant, pas à la prochaine fenêtre de maintenance.

Mise à jour du 10 octobre 2026 : CVE-2026-107406 touche les configurations SAML

Citrix a publié le bulletin CTX697191 pour CVE-2026-107406, un débordement mémoire noté 9,5 en CVSS v4.0 qui affecte NetScaler ADC et NetScaler Gateway. Selon la configuration, il mène à une exécution de code à distance ou à un déni de service. Seuls les boîtiers configurés comme fournisseur d’identité SAML (IdP) ou fournisseur de service SAML (SP) sont vulnérables. C’est pourtant la configuration retenue par beaucoup d’entreprises qui branchent leur VPN sur Microsoft Entra ID ou sur un autre annuaire pour offrir l’authentification unique.

L’éditeur indique ne connaître aucune exploitation à la date du bulletin. Ce répit est généralement court. En mars, CVE-2026-3055 a été exploitée quelques jours après l’avis ; en septembre, CVE-2026-88771 et CVE-2026-88772 l’étaient déjà comme zero-days, avec dépôt de webshells et vol d’identifiants ; début octobre, CVE-2026-88779, présentée comme un simple déni de service SAML, s’est révélée exploitable pour exécuter du code, rapporte BleepingComputer. Shadowserver recense par ailleurs près de 20 000 NetScaler ADC exposés sur Internet.

Pourquoi une faille NetScaler passe avant tout autre correctif

NetScaler concentre trois fonctions critiques : terminaison TLS, accès VPN et publication d’applications internes. Un boîtier compromis donne à l’attaquant une position privilégiée, en amont de toute segmentation réseau. Les campagnes de 2026 suivent un schéma constant :

• Exploitation avant correctif généralisé : les opérateurs scannent Internet dans les heures qui suivent la publication de l’avis.
• Vol de sessions : les jetons d’authentification restent valides après le correctif, ce qui rend le simple patch insuffisant.
• Persistance sur l’appliance : webshells et binaires modifiés survivent aux redémarrages et échappent à l’EDR, absent de ces boîtiers.
• Rebond interne : depuis la passerelle, l’attaquant atteint l’annuaire, puis les serveurs de fichiers.

La CISA a inscrit 27 vulnérabilités Citrix dans son catalogue des failles exploitées depuis novembre 2021, dont sept utilisées par des groupes de rançongiciel. Pour une PME, la passerelle n’est pas un équipement réseau parmi d’autres : c’est la porte que l’attaquant essaie en premier.

Détecter une passerelle NetScaler déjà compromise

Appliquer le correctif sans vérifier l’antériorité d’une intrusion est l’erreur la plus fréquente. Considérez que l’appliance a pu être touchée et recherchez en priorité :

• des fichiers récents et inattendus dans les répertoires servis par le serveur web de l’appliance ;
• des sessions actives depuis des adresses ou des pays qui ne correspondent à aucun collaborateur ;
• des connexions réussies sans passage par l’authentification multifacteur ;
• du trafic sortant initié par l’appliance vers Internet, ou des comptes d’administration créés hors fenêtre de maintenance.

Ces recherches supposent des journaux conservés hors du boîtier : un attaquant qui obtient les droits root efface les traces locales. Si vos journaux NetScaler ne remontent pas dans un SIEM, c’est le premier chantier à ouvrir.

Que faire maintenant

1. Vérifiez si vos NetScaler utilisent SAML : recherchez les lignes « add authentication samlAction » ou « add authentication samlIdPProfile » dans la configuration en cours.
2. Appliquez la version corrigée indiquée dans le bulletin CTX697191 sur chaque instance, y compris la préproduction et les boîtiers hérités d’une filiale.
3. Invalidez toutes les sessions actives après la mise à jour, puis faites tourner certificats, comptes de service et mots de passe d’administration.
4. Restreignez l’interface d’administration à un réseau dédié et envoyez les journaux de l’appliance vers un collecteur externe.
5. Recherchez les signaux de compromission listés plus haut, et reconstruisez l’appliance depuis une image éditeur au moindre doute plutôt que de la nettoyer.

Les mêmes réflexes valent pour les autres passerelles d’accès distant, comme le rappelle la série de failles SonicWall SMA1000 exploitées cette année. Sur la durée, l’enjeu est de réduire votre fenêtre de patch sur ces équipements exposés.

Une passerelle compromise se repère d’abord à ses connexions anormales, souvent la nuit ou le week-end : ce type d’intrusion se détecte et se contient avec une surveillance continue. Découvrez notre SOC managé 24/7 pour PME et ETI.

Ce qu’il faut retenir

• CVE-2026-107406 (CVSS 9,5) permet l’exécution de code sur les NetScaler configurés en SAML IdP ou SP.
• Aucune exploitation connue à ce jour, mais les failles NetScaler de 2026 ont été exploitées en quelques jours.
• Le correctif ne suffit pas : invalidez les sessions et faites tourner les secrets.
• Sans journaux externalisés, une compromission antérieure reste invisible.

Sources

• Citrix — Bulletin de sécurité CTX697191 (CVE-2026-107406)
• Citrix — Recommandations immédiates pour CVE-2026-107406
• BleepingComputer — Citrix warns admins to patch new NetScaler RCE flaw immediately
• Security Affairs — CVE-2026-107406 : Citrix corrige une faille critique NetScaler
• CISA — Known Exploited Vulnerabilities Catalog