Une vulnérabilité de dépassement de mémoire et un contournement d’authentification nécessitent tous deux une attention urgente.
Citrix exhorte ses clients NetScaler ADC et NetScaler Gateway à corriger rapidement deux failles de sécurité critiques, l’une impliquant une vulnérabilité de dépassement de mémoire entraînant un comportement imprévisible ou un déni de service, et l’autre permettant le contournement de l’authentification.
Citrix a déclaré dans un avis que les versions prises en charge de NetScaler ADC et NetScaler Gateway gérées par le client, y compris certaines versions FIPS et NDcPP, ainsi que les déploiements SecurAccess ZTNA Hybrid (anciennement Secure Private Access Hybrid) qui utilisent des instances NetScaler gérées par le client, sont concernés. Les services cloud gérés par Citrix et l’authentification adaptative gérée par Citrix ont déjà été mis à jour.
Cependant, il a ajouté : « à ce stade (19 août), les images NetScaler disponibles sur les marchés cloud (AWS, Azure, GCP) n’ont pas été mises à jour. Si vous devez mettre à jour les images vers les versions contenant le correctif, veuillez les télécharger à partir de la page de téléchargement de Citrix ».
Les analystes et les consultants en cybersécurité ont convenu que ces correctifs devaient être appliqués de toute urgence, compte tenu de la nature sensible et risquée des passerelles.
En fait, a noté Charlie Winckless, vice-président/analyste chez Gartner, son entreprise identifie désormais l’augmentation des menaces périmétriques « comme le signal le plus élevé utilisé par les acteurs de la menace », les appareils exposés à Internet étant le plus critique. « Dans le passé, » a-t-il déclaré, « les nouveaux problèmes Citrix ont été rapidement exploités par des attaquants en raison de leur emplacement dans le chemin de l’application. »
Parmi les deux failles, « le contournement d’authentification (CVE-2026-19490) est celui qui devrait faire bouger les gens ce soir », a déclaré le consultant en cybersécurité Brian Levine, directeur exécutif de FormerGov. « NetScaler se trouve à la périphérie du réseau, face à Internet, et un contournement de pré-authentification de niveau critique sur une appliance périphérique a à peu près la même valeur qu’une cible. »
Et comme les contournements d’authentification dans les passerelles Citrix sont presque toujours militarisés, et généralement rapidement, il a déclaré : « Je suggère aux organisations de corriger le contournement d’authentification en cas d’urgence, et non lors de leur cycle de maintenance normal. »
Levine a ajouté qu’il ne s’agit pas d’une situation de « patch et vous avez terminé » ; les défenseurs doivent également alterner les informations d’identification, supprimer les sessions actives et rechercher des signes d’accès préalable avant de clôturer l’incident.
« Un CVSS 9.3 signifie qu’un attaquant distant sans informations d’identification et sans interaction utilisateur peut vaincre la connexion sur un appareil dont l’intégralité du travail consiste à servir de porte d’entrée sécurisée », a-t-il déclaré. « Si vous l’exécutez en tant que serveur virtuel Gateway ou AAA, vous devez supposer qu’il s’agit d’un « quand » et non d’un « si ».
Fritz Jean-Louis, conseiller principal en cybersécurité chez Info-Tech Research Group, a fait écho aux préoccupations de Levine.
« Même lorsqu’une vulnérabilité est moins bien notée qu’une faille d’exécution de code à distance, les organisations ne doivent pas sous-estimer le risque lorsqu’elle affecte une passerelle de sécurité », a déclaré Jean-Louis. La vulnérabilité « ne peut pas simplement être ajoutée à la file d’attente des correctifs, car elle a le potentiel de saper l’un des contrôles dont dépendent les organisations pour empêcher l’accès des utilisateurs non autorisés ».
Mike Wilkes, RSSI d’entreprise chez Aikido Security, a ajouté que l’application rapide de ces correctifs est cruciale maintenant que l’annonce a alerté les attaquants des failles. Cela signifie que c’est une course pour voir qui agit le plus rapidement : les bons ou les méchants.
« Il n’y a aucun indicateur public que ces deux nouvelles failles sont exploitées pour le moment, mais cela est susceptible de changer d’ici quelques heures, étant donné la capacité des acteurs malveillants à utiliser le correctif de mise à jour pour discerner les détails de l’exploit », a-t-il déclaré, étant donné qu’une faille de contournement d’authentification CVSS 9.3 sur un serveur NetScaler Gateway ou AAA est précisément le genre de vulnérabilité que les défenseurs ne veulent pas rester à la frontière d’Internet, car un exploit réussi pourrait permettre un accès non autorisé aux ressources derrière la passerelle, suivi d’un abus d’informations d’identification ou de session. reconnaissance, mouvement latéral et finalement vol de données ou compromission plus large.
Le deuxième trou majeur signalé par Citrix, CVE-2026-19489, avec un score CVSS de 8,8, est moins préoccupant mais reste inquiétant, a-t-il noté.
« Cela nécessite que SIP ALG soit activé sur un groupe NAT à grande échelle, de sorte que la population vulnérable devrait être considérablement plus petite », a déclaré Wilkes. « Néanmoins, un débordement de mémoire déclenchable à distance, capable de produire un comportement imprévisible ou un déni de service, a des conséquences sur l’infrastructure dont le but est de maintenir les applications et les utilisateurs distants connectés. Un attaquant n’a pas nécessairement besoin de voler des données pour qu’une attaque soit dommageable : la déstabilisation ou le crash répété d’un ADC ou d’une passerelle peut interrompre l’accès VPN, les applications destinées aux clients et d’autres services dépendants précisément au moment où une organisation en a besoin. «
En outre, a déclaré Wilkes, les RSSI devraient s’inquiéter de « l’historique des risques accumulés autour de l’infrastructure Edge NetScaler et Citrix ».
« CISA a signalé 22 vulnérabilités Citrix comme exploits connus au cours des cinq dernières années, dont six associées à des ransomwares », a-t-il souligné. « Cette histoire est importante parce que les attaquants ont démontré à plusieurs reprises qu’ils comprennent la valeur stratégique de ces systèmes périmétriques et savent comment en abuser. Le calcul du risque n’est pas simplement la gravité théorique de CVE-2026-19489 ou CVE-2026-19490. Il s’agit de la combinaison de classes de vulnérabilité sérieuses, d’une exposition Internet, d’une position privilégiée sur le réseau et d’un appétit manifeste de l’adversaire pour militariser les failles Citrix peu après leur divulgation. Il y a une population affamée d’attaquants qui a entendu sonner la cloche pavlovienne : cela alimente à nouveau le temps sur les piles Citrix.
