Citrix NetScaler, la porte d’entrée que les attaquants avaient déjà franchie

Tout un week-end, des administrateurs informatiques ont débranché leurs équipements sans savoir pourquoi. Selon BleepingComputer^{source 1}, des prestataires, des CERT et des services de détection ont demandé à des organisations d’éteindre sur-le-champ leurs passerelles Citrix NetScaler, souvent sans explication. Une partie de ces consignes remontait à une pré-notification confidentielle du centre national de cybersécurité néerlandais (NCSC-NL), lui-même averti par un CERT européen partenaire. Le 27 septembre, Citrix a confirmé deux failles déjà exploitées^{source 2} et publié des correctifs ; Dark Reading^{source 3} parle de « chaos » chez ses clients. Le lendemain, le CERT-FR^{source 4} émettait une alerte en signalant l’existence d’une preuve de concept publique pour l’une d’elles.

Deux failles, une configuration par défaut

Le bulletin de sécurité de Citrix^{source 5} recense huit vulnérabilités, dont deux exploitées. La première, CVE-2026-88771, permet à un attaquant non authentifié d’exécuter des commandes à distance ; d’après l’éditeur, cité par le CERT-FR, tout équipement non corrigé est vulnérable dans sa configuration par défaut. Les chercheurs de watchTowr^{source 6} y voient une injection de commande « avant authentification ». La seconde, CVE-2026-88772, est un débordement de mémoire exploitable lorsque la fonction DTLS est activée, selon Rapid7^{source 7}. Toutes deux reçoivent la note critique de 9,5 sur l’échelle CVSS v4, rappelle Tenable^{source 8}.

L’enjeu tient à la place de ces boîtiers. Un NetScaler Gateway sert de porte d’accès à distance au réseau d’une organisation : il est, par construction, exposé à Internet. Selon Cybernews^{source 9}, qui s’appuie sur les balayages de la Shadowserver Foundation, environ 22 000 instances sont visibles en ligne, dont 8 800 aux États-Unis, 3 000 en Allemagne et un millier aux Pays-Bas. Les versions 12.1 et 13.0, en fin de vie, ne recevront aucun correctif.

Corriger ne suffit pas

L’exploitation a précédé de loin la publication. D’après Mandiant et le Google Threat Intelligence Group^{source 10}, les attaques ont commencé au moins début septembre et auraient touché, en Amérique du Nord et en Europe, des administrations, des services financiers, l’enseignement, des cabinets juridiques et de conseil. Les intrus ont déployé des web shells sur mesure et des logiciels de tunnel, obtenu les droits d’administration complets (root), volé des identifiants et progressé dans les réseaux internes, détaille BleepingComputer^{source 11}. Help Net Security^{source 12} évoque une exploitation mondiale pendant des semaines.

D’où la conclusion résumée par Hardware Busters^{source 13} : le correctif ferme la porte, mais n’expulse pas ceux qui sont déjà entrés. Les organisations concernées doivent chercher des traces de compromission et renouveler les identifiants exposés. Aux États-Unis, la CISA^{source 14} a inscrit les deux failles dès le 27 septembre dans son catalogue des vulnérabilités activement exploitées, qui impose aux agences fédérales civiles de corriger dans un délai contraint.

Le scénario a un précédent. En 2023, la faille baptisée CitrixBleed (CVE-2023-4966), qui permettait de dérober des jetons de session dans la mémoire des mêmes équipements et donc de contourner l’authentification multifacteur, avait été corrigée le 10 octobre^{source 15}, puis exploitée par des affiliés du rançongiciel LockBit^{source 16}. Trois ans plus tard, la leçon reste entière : les équipements de bordure, pensés pour protéger le réseau, en sont devenus la cible privilégiée, et chaque faille critique y ouvre une course de vitesse que les défenseurs démarrent souvent avec des semaines de retard.