Faille Citrix NetScaler CVE-2026-88779 : SAML exploité, builds à installer et vérifications

La réponse courte : Citrix a publié le 4 octobre 2026 un correctif pour CVE-2026-88779, une faille de NetScaler ADC et NetScaler Gateway configurés en SAML, déjà exploitée lors d’attaques ciblées. La CISA l’a ajoutée le jour même à son catalogue des vulnérabilités exploitées. Le 8 octobre, Citrix a corrigé une seconde faille dans le même périmètre, CVE-2026-107406, classée critique et pouvant mener à une exécution de code à distance. Toute entreprise qui publie un accès distant, un portail applicatif ou une authentification unique via NetScaler doit installer au minimum 14.1-73.46 ou 13.1-64.29, et de préférence les builds publiées le 26 octobre.

Au Maroc, NetScaler sert souvent de passerelle d’accès distant aux applications métiers et aux bureaux virtuels, notamment dans les organisations multi-sites. Le maCERT de la DGSSI a publié plusieurs bulletins sur NetScaler en octobre. Voici l’essentiel et les contrôles à faire.

Ce qui est touché

Les deux failles concernent les équipements NetScaler gérés par le client et configurés en SAML :

• comme fournisseur de service SAML (SP) : présence d’une commande add authentication samlAction dans la configuration ;
• comme fournisseur d’identité SAML (IdP) : présence d’une commande add authentication samlIdPProfile.

CVE-2026-88779 est un dépassement de mémoire (CWE-119). Citrix la décrit comme un déni de service : un attaquant distant et non authentifié peut faire tomber l’authentification et donc l’accès distant. CVE-2026-107406 est également un dépassement de mémoire, qui peut selon Citrix mener à une exécution de code à distance ou à un déni de service.

Point important : pour CVE-2026-107406, les builds qui venaient de corriger CVE-2026-88779 (14.1-73.41 et 13.1-64.28) restent vulnérables lorsque l’équipement est configuré en SAML IdP. Une entreprise qui a mis à jour dans l’urgence le 4 octobre doit donc mettre à jour une seconde fois.

Produit	Versions touchées	Version corrigée
NetScaler ADC et Gateway 14.1	antérieures à 14.1-73.41 (CVE-2026-88779) ; antérieures à 14.1-73.46 (CVE-2026-107406)	14.1-73.46 ; 14.1-73.49 avec le correctif PHP2Shell
NetScaler ADC et Gateway 13.1	antérieures à 13.1-64.28 (CVE-2026-88779) ; antérieures à 13.1-64.29 (CVE-2026-107406)	13.1-64.29 ; 13.1-64.32 avec le correctif PHP2Shell
NetScaler ADC 14.1-FIPS	antérieures à 14.1-73.41 FIPS ; antérieures à 14.1-73.46 FIPS	14.1-73.46 FIPS ; 14.1-73.49 FIPS avec le correctif PHP2Shell
NetScaler ADC 13.1-FIPS et 13.1-NDcPP	antérieures à 13.1-37.282 ; antérieures à 13.1-37.283	13.1-37.283 ; 13.1-37.286 avec le correctif PHP2Shell
Services cloud gérés par Citrix	non concernés, mis à jour par l’éditeur	aucune action du client

Sources : bulletins Citrix CTX697174 (4 octobre) et CTX697191 (8 octobre), fiches NVD, bulletins du maCERT 69160510/26, 69390910/26 et 67122810/26.

Gravité et exploitation

• Gravité publiée : Citrix attribue à CVE-2026-88779 un score CVSS v4.0 de 8.7 (élevé) et à CVE-2026-107406 un score CVSS v4.0 de 9.5 (critique), repris par la NVD. Le maCERT classe CVE-2026-88779 à un niveau de risque et d’impact critique, et CVE-2026-107406 à un niveau important.
• Exploitation de CVE-2026-88779 : Citrix a observé des attaques ciblées ayant provoqué des dénis de service sur des équipements non corrigés. La CISA l’a ajoutée à son catalogue KEV le 4 octobre 2026, avec une échéance au 7 octobre pour les agences fédérales américaines. Des chercheurs cités par BleepingComputer étudient une possible exécution de code ; Citrix maintient à ce stade la qualification de déni de service.
• Exploitation de CVE-2026-107406 : au moment de la publication, Citrix déclarait n’avoir connaissance d’aucune exploitation. La faille ne figure pas au catalogue KEV à la date de cette alerte.
• Contexte : ces failles suivent CVE-2026-88771 et CVE-2026-88772, deux failles NetScaler exploitées et ajoutées au catalogue KEV le 27 septembre 2026. Le maCERT a par ailleurs publié le 23 et le 28 octobre des bulletins indiquant que les failles PHP « PHP2Shell » touchent aussi NetScaler ADC et Gateway, corrigées dans les builds du 26 octobre (bulletin Citrix CTX697263).

Les mesures d’attente, si la mise à jour doit attendre quelques heures

Citrix ne propose pas de contournement équivalent au correctif. Ce que l’on peut faire en attendant :

1. Appliquer les Global Deny Lists que Citrix met à disposition pour bloquer des adresses IP malveillantes connues, en gardant à l’esprit que l’éditeur recommande malgré tout la mise à jour.
2. Planifier une fenêtre de maintenance courte : la mise à jour d’un NetScaler interrompt l’accès distant. En cluster ou en haute disponibilité, mettre à jour le nœud secondaire, basculer, puis mettre à jour le primaire.
3. Restreindre l’accès à l’interface d’administration au seul réseau d’administration : le maCERT renvoie aussi aux recommandations de Citrix sur la protection de l’accès de gestion dans le cadre de PHP2Shell.

Les vérifications à faire

• Identifier les équipements en SAML : rechercher samlAction et samlIdPProfile dans la configuration en cours (show ns runningConfig). Si vous utilisez NetScaler Console, le tableau de bord des avis de sécurité liste les instances touchées par CVE-2026-88779.
• Contrôler la build réellement en service sur chaque nœud, y compris les équipements de secours, de préproduction ou de reprise d’activité, souvent oubliés.
• Vérifier la seconde mise à jour : une build 14.1-73.41 ou 13.1-64.28 installée début octobre ne suffit plus.
• Chercher des traces : redémarrages ou plantages inexpliqués du moteur de traitement, tentatives d’authentification SAML anormales dans les journaux, fichiers inconnus dans les répertoires web de l’équipement. La CISA demande d’ailleurs aux agences fédérales une analyse forensique en plus du correctif.
• Revoir l’authentification : si l’équipement a été exposé sans correctif, renouveler les sessions actives et contrôler les comptes et certificats liés au SAML.

Notre lecture pour les entreprises au Maroc

NetScaler est un équipement d’accès : quand il tombe, c’est le télétravail, l’accès aux applications et parfois l’activité commerciale qui s’arrêtent. Le cas le plus risqué que nous rencontrons est l’équipement installé par un intégrateur pour un projet ponctuel, puis laissé sans propriétaire clair. Le second est la mise à jour faite une fois dans l’urgence, sans suivi des bulletins suivants : octobre 2026 montre qu’il a fallu mettre à jour NetScaler trois fois.

Ces alertes rappellent les fondamentaux de l’accès distant : un VPN d’entreprise ou une approche ZTNA bien dimensionnés, une authentification multifacteur sur tous les accès, et une démarche Zero Trust. Si vos serveurs web exécutent PHP, lisez aussi notre alerte sur la faille PHP2Shell. Pour les organismes concernés, la loi 05-20 et les exigences de la DGSSI imposent de traiter ces bulletins, et une supervision et un EDR managés 24/7 aident à repérer un comportement anormal.

Comment nous pouvons vous aider

Nous identifions vos équipements d’accès distant exposés, vérifions leur configuration SAML et leur build, planifions les mises à jour avec bascule contrôlée et cherchons les traces de compromission. Nous assurons ensuite la supervision 24/7, avec une prise en charge des incidents critiques en moins de 15 minutes. Retrouvez notre approche de la cybersécurité des entreprises au Maroc, puis demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.

Sources : bulletin Citrix CTX697174, bulletin Citrix CTX697191, catalogue CISA KEV, NVD CVE-2026-88779, NVD CVE-2026-107406, maCERT : CVE-2026-88779, maCERT : CVE-2026-107406, maCERT : PHP2Shell et NetScaler, avis du Centre canadien pour la cybersécurité AV26-996, Sophos CTU, BleepingComputer.