Deux failles zero-day critiques touchent Citrix NetScaler, exploitées sans correctif disponible

Le cabinet de sécurité watchTowr a révélé le 26 septembre 2026 l'existence de deux vulnérabilités d'exécution de code à distance touchant Citrix NetScaler ADC et Gateway, découvertes lors d'investigations forensiques menées après que des attaquants les avaient déjà exploitées en conditions réelles, et pour lesquelles Citrix n'a publié à ce jour ni identifiant CVE ni correctif.

Deux failles exploitées avant même d'être documentées

Selon watchTowr, ces deux vulnérabilités RCE ont été identifiées directement lors d'enquêtes forensiques menées sur des systèmes déjà compromis — un scénario particulièrement défavorable puisqu'il signifie que les attaquants disposaient d'une longueur d'avance sur les défenseurs et sur l'éditeur lui-même.

Aucun correctif ni CVE au moment de la publication

Contrairement à la faille CVE-2025-7775, déjà connue et documentée par la CISA, ces deux nouvelles vulnérabilités ne disposent à ce jour d'aucun identifiant CVE ni d'aucun bulletin de sécurité officiel de Citrix — une situation que watchTowr résume par la formule « sans CVE, sans avis ».

Un correctif attendu la semaine du 28 septembre, sans garantie sur les intrusions passées

Citrix aurait indiqué en coulisses viser une communication et un correctif dans le courant de la semaine du 28 septembre 2026, mais les chercheurs de watchTowr soulignent qu'installer un futur correctif ne renseignera en rien un administrateur sur le fait qu'un attaquant se soit déjà introduit avant sa sortie.

Des recommandations d'urgence en attendant le correctif

En l'absence de patch, watchTowr recommande de préserver les preuves (instantané des instances VPX, journaux distants), d'isoler les appliances du réseau, de changer les mots de passe des comptes de service et de révoquer les certificats concernés — et rappelle plus généralement que les interfaces de gestion NetScaler ne devraient jamais être exposées directement sur internet public.

Notre avis

Le scénario est particulièrement inconfortable pour les administrateurs : deux failles critiques sans CVE ni patch, déjà exploitées, sur un produit de passerelle réseau historiquement ciblé (les failles CVE-2023-4966/4967 puis CVE-2025-7775 avaient déjà touché NetScaler par le passé) — la prudence recommandée par watchTowr (isolement, changement d'identifiants, préservation de preuves) mérite d'être suivie sans attendre la sortie officielle du correctif.

Sources

• Article The Hacker News