NetScaler : Citrix corrige une nouvelle faille critique liée à SAML (CVE-2026-107406)

Le 8 octobre 2026, Citrix a publié le bulletin de sécurité CTX697191. Il concerne une nouvelle vulnérabilité critique dans NetScaler ADC et NetScaler Gateway. Référencée CVE-2026-107406, elle reçoit un score CVSS v4.0 de 9,5 sur 10. C'est un débordement de mémoire (CWE-119) qui pourrait permettre d'exécuter du code à distance ou de provoquer un déni de service. Citrix indique n'avoir connaissance d'aucune exploitation « non atténuée » à la date de publication.

Seules les configurations SAML sont concernées

Pour être vulnérable, l'équipement doit utiliser SAML (Security Assertion Markup Language), le protocole d'authentification unique, comme fournisseur d'identité (IdP) ou comme fournisseur de service (SP). Selon The Register, les builds anciens sont vulnérables dans les deux rôles. Certains builds plus récents ne le sont que comme fournisseur d'identité. Les déploiements hybrides de Secure Private Access qui reposent sur NetScaler doivent aussi être mis à jour. Citrix précise qu'elle se charge elle-même des mises à jour de ses services cloud managés et d'Adaptive Authentication.

Cette alerte arrive après une série noire. En septembre, CVE-2026-88771 et CVE-2026-88772 ont été exploitées avant même la sortie des correctifs. Début octobre, CVE-2026-88779, une faille de déni de service, était à son tour exploitée. Selon BleepingComputer, la fondation Shadowserver recense plus de 21 000 adresses IP exposées sur Internet qui présentent l'empreinte NetScaler. On ignore combien sont réellement vulnérables.

Versions corrigées

• NetScaler ADC et Gateway 14.1-73.46 et ultérieures ;
• NetScaler ADC et Gateway 13.1-64.29 et ultérieures ;
• NetScaler ADC 14.1-FIPS 14.1-73.46 et ultérieures ;
• NetScaler ADC 13.1-FIPS et 13.1-NDcPP 13.1-37.283 et ultérieures.

Attention : selon l'analyse publiée par le spécialiste Citrix Poppelgaard.com, des builds sortis récemment pour corriger les failles précédentes (jusqu'à 14.1-73.41 et 13.1-64.28) restent vulnérables lorsque l'équipement joue le rôle de fournisseur d'identité. Les branches 13.0 et 12.1, en fin de vie, sont touchées et ne recevront pas de correctif.

Que faire ?

• Vérifier la présence d'un profil SAML, même s'il n'est pas utilisé. Poppelgaard.com propose la commande grep -E "add authentication saml(Action|IdPProfile)" /nsconfig/ns.conf. Une ligne contenant samlIdPProfile signale le rôle de fournisseur d'identité, le plus exposé.
• Installer les builds corrigés listés ci-dessus. Le bulletin ne propose aucun contournement.
• Sortir des branches 13.0 et 12.1 pour passer sur une version maintenue.
• Contrôler les journaux si les correctifs de septembre ont été appliqués tardivement : un équipement mis à jour peut avoir été compromis avant.