Skip to content
Hacker Posts

Citrix corrige un contournement d'authentification NetScaler (CVE-2026-120869)

Citrix corrige 12 failles NetScaler, dont un contournement d'authentification sur NetScaler Console (CVE-2026-120869, CVSS 9.4) et neuf bugs mémoire critiques. Pas d'exploitation connue.

Publié le 3 min de lecture
cvecitrixnetscaleralerte

Citrix a publié des correctifs pour 12 vulnérabilités touchant NetScaler ADC, NetScaler Gateway, NetScaler Console et le Secure Access Client ; le CERT-FR a relayé l'alerte le 13 novembre dans l'avis CERTFR-2026-AVI-1528. La faille marquante est un contournement d'authentification non authentifié sur NetScaler Console, CVE-2026-120869 (CVSS 9.4), accompagné de neuf bugs mémoire critiques (9.3 à 9.5) sur ADC et Gateway. Citrix dit ne connaître aucune exploitation pour l'instant — mais l'historique de NetScaler impose de patcher vite les appliances exposées.

Produits et CVE

NetScaler Console — CVE-2026-120869 (9.4) : une authentification défaillante permet à un attaquant non authentifié d'atteindre des ressources restreintes. Corrigé en 14.1-74.34 et ultérieur.

NetScaler ADC et Gateway — neuf bugs de corruption/dépassement mémoire, chacun conditionné par une configuration précise, d'après The Hacker News :

Correctifs en 14.1-73.57, 13.1-64.39, 14.1-FIPS 14.1-73.58 FIPS et 13.1-FIPS / 13.1-NDcPP 13.1-37.293, et versions ultérieures. Le CERT-FR renvoie aux bulletins éditeur CTX697305 (ADC/Gateway) et CTX697320 (Console), datés du 12 novembre 2026.

Secure Access Client — CVE-2026-118268 (8.5, Windows, passage à SYSTEM ; corrigé en 26.11.1.6+) et CVE-2026-118269 (8.5, Linux, passage à root ; corrigé en 26.10.4+).

Statut d'exploitation

Citrix indique ne pas avoir connaissance d'exploit pour ces vulnérabilités. Aucun PoC public n'a été observé et aucune des 12 CVE ne figure au catalogue KEV de la CISA à la publication. C'est la fenêtre dont disposent les défenseurs — pas une raison d'attendre.

Que faire

  1. Mettez à jour NetScaler Console en premier (14.1-74.34+) : CVE-2026-120869 est la seule faille non authentifiée et joignable par le réseau.
  2. Patchez ADC/Gateway vers les versions correctives ci-dessus, en respectant votre édition (standard, FIPS, NDcPP).
  3. Mettez à jour Secure Access Client sous Windows (26.11.1.6+) et Linux (26.10.4+) pour fermer les escalades locales.
  4. N'exposez pas la Console : gardez NetScaler Console sur un réseau d'administration, jamais sur Internet.
  5. Vérifiez les configurations concernées : les neuf bugs ADC/Gateway dépendent chacun d'un type de vserver précis.

Contexte

Les appliances NetScaler comptent parmi les équipements de périmètre les plus attaqués des deux dernières années — CitrixBleed et sa suite sont passés de l'avis à l'exploitation de masse en quelques jours. Un contournement d'authentification sur le plan de gestion plus une pile de bugs mémoire à 9.3+ dessinent la forme habituelle de la prochaine campagne, même sans exploitation aujourd'hui. On patche avant le PoC, pas après.

Articles liés