Ordinateurs · 12/10/2026

NetScaler : une faille critique de plus, CVE-2026-107406, dans les versions censées corriger deux failles zero-day

Citrix a divulgué le 12 octobre une vulnérabilité de score 9,5 dans NetScaler ADC et Gateway, la troisième alerte en deux semaines et la quatrième faille liée à SAML depuis mars.

Transparence : cette page peut contenir des liens affilies ou sponsorises. Les recommandations restent editoriales.

Citrix a divulgué le 12 octobre 2026 la vulnérabilité CVE-2026-107406, notée 9,5 sur 10, dans NetScaler ADC et NetScaler Gateway. Elle touche des versions publiées en septembre pour corriger deux failles zero-day.

Une erreur mémoire sans authentification

Il s'agit d'un dépassement de mémoire pouvant mener à l'exécution de code à distance ou à un déni de service. L'exploitation ne demande ni authentification ni action de l'utilisateur, même si la complexité de l'attaque est jugée élevée.

Quelles versions

Pour les builds 14.1-73.37 à 14.1-73.41 et 13.1-64.23 à 13.1-64.28, seule la configuration SAML IdP est concernée. Les versions antérieures le sont en IdP comme en SP. Les correctifs sont dans les versions 14.1-73.46 et 13.1-64.29 et suivantes, et aucun contournement n'est proposé.

Comment vérifier

Les administrateurs doivent chercher dans la configuration les lignes « add authentication samlIdPProfile » ou « add authentication samlAction ». Citrix demande de mettre à jour les instances concernées dès que possible.

Notre avis

Une troisième alerte en deux semaines montre que les correctifs précédents ont été publiés sous pression. Les équipes qui exposent NetScaler sur Internet doivent traiter cette mise à jour comme urgente.