Citrix corrige une faille SAML critique de NetScaler pouvant mener à l’exécution de code

Citrix a publié un bulletin de sécurité pour CVE-2026-107406, une vulnérabilité de NetScaler ADC et NetScaler Gateway. Le bulletin la décrit comme un dépassement de mémoire pouvant mener à une exécution de code à distance ou à un déni de service, la classe sous CWE-119, une catégorie de faiblesses liées aux tampons mémoire, et lui attribue un score de base CVSS v4.0 de 9,5. Le bulletin ne concerne que les appliances exploitées par les clients eux-mêmes ; Cloud Software Group, la société derrière Citrix, indique appliquer les mises à jour aux services cloud et à Adaptive Authentication que Citrix gère lui-même.

Une appliance n’est exposée que si elle agit comme fournisseur de services (SP) SAML ou fournisseur d’identité (IdP) SAML, et le rôle concerné dépend du build. Sur les builds antérieurs à 14.1-73.37 et 13.1-64.23, ainsi que sur les builds FIPS antérieurs à 14.1-73.37 FIPS et 13.1-37.279, les deux rôles sont touchés. Sur les builds plus récents 14.1-73.37 à 14.1-73.41 (y compris les équivalents 14.1-FIPS), 13.1-64.23 à 13.1-64.28 et les builds 13.1-FIPS/NDcPP 13.1-37.279 à 13.1-37.282, seul le rôle de fournisseur d’identité est vulnérable, selon Citrix.

Citrix indique les versions corrigées suivantes : 14.1-73.46 ou ultérieure pour la branche 14.1, 13.1-64.29 ou ultérieure pour 13.1, 14.1-73.46 FIPS ou ultérieure pour 14.1-FIPS, et 13.1.37.283 ou ultérieure pour les éditions 13.1-FIPS et 13.1-NDcPP. Les instances NetScaler intégrées à des déploiements Secure Private Access Hybrid sont également touchées et nécessitent la même mise à niveau. Pour savoir si un appareil utilise l’un des deux rôles SAML, Citrix indique que les administrateurs peuvent rechercher dans sa configuration des entrées correspondant à add authentication samlAction (fournisseur de services) ou add authentication samlIdPProfile (fournisseur d’identité).

Concernant l’exploitation, Citrix a déclaré dans un communiqué cité par BleepingComputer : « À la date de publication du bulletin, Citrix n’a connaissance d’aucun exploit non atténué de cette vulnérabilité ». The Register note que Citrix n’a pas précisé si la faille avait été exploitée comme zero-day avant sa divulgation. Le bulletin crédite des chercheurs de la XOR Team de JPMorgan Chase. BleepingComputer rapporte que Shadowserver suit plus de 21.000 adresses IP présentant des empreintes NetScaler sur Internet, dont près de 20.000 appliances ADC et un peu plus de 1.500 instances Gateway, mais on ne sait pas combien sont des honeypots, déjà corrigées ou configurées de manière vulnérable.

Ce correctif fait suite à plusieurs failles NetScaler exploitées par des attaquants cette année. Plus tôt ce mois-ci, Citrix a publié des mises à jour d’urgence pour CVE-2026-88779, un zero-day de déni de service qui, selon The Register, est noté 8,7 et dont des chercheurs et administrateurs ont ensuite affirmé qu’il permettait aussi l’exécution de code, d’après BleepingComputer. Selon The Register, cette faille et la nouvelle impliquent toutes deux des dépassements de mémoire dans des configurations SAML. En septembre, Citrix a corrigé deux zero-days exploités, CVE-2026-88771 et CVE-2026-88772 ; des chercheurs de Google ont indiqué qu’une campagne exploitant CVE-2026-88772 était en cours depuis au moins début septembre. BleepingComputer ajoute que depuis novembre 2021, la CISA a répertorié 27 vulnérabilités Citrix comme activement exploitées, dont sept dans des attaques par ransomware.