La CISA fixe un délai au 29 août pour la faille Citrix

L'agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ordonné aux agences fédérales de corriger une faille de Citrix NetScaler avant samedi 29 août, après que des chercheurs en sécurité ont montré qu'elle était bien plus dangereuse qu'annoncé initialement et qu'elle est désormais activement exploitée.

La vulnérabilité, référencée CVE-2026-8452, touche les appareils Citrix NetScaler ADC et NetScaler Gateway configurés avec des serveurs virtuels Gateway VPN ou AAA. Citrix a révélé et corrigé ce bug de dépassement de mémoire le 30 juin, le décrivant uniquement comme pouvant provoquer un "comportement imprévisible ou erroné et un déni de service". Cette évaluation a changé le 14 août, lorsque des chercheurs de watchTowr Labs ont publié une analyse technique accompagnée d'un code de démonstration montrant que la même faille pouvait être enchaînée pour obtenir une exécution de code à distance complète, sans authentification, avec des privilèges root.

L'exploitation active a commencé peu après la publication de l'analyse de watchTowr. La société de renseignement sur les menaces Defused a confirmé les premières tentatives d'exploitation, et l'entreprise de sécurité Previdian a indiqué avoir observé des attaquants déposer des web shells, nommés x.php et z.php, et exécuter des commandes de reconnaissance sur des appareils compromis depuis des systèmes situés dans trois pays différents. Plusieurs chercheurs ont décrit ce schéma comme des attaques massives et non ciblées, où les tentatives d'exploitation sont envoyées largement contre des appareils exposés à internet plutôt que dirigées vers des organisations précises.

La CISA a ajouté CVE-2026-8452 à son catalogue des vulnérabilités activement exploitées le 26 août et, en vertu de la directive opérationnelle contraignante 26-04, a ordonné aux agences civiles fédérales de sécuriser tous les appareils NetScaler vulnérables avant le 29 août. La directive s'applique spécifiquement aux agences fédérales américaines, mais les chercheurs en sécurité exhortent toute organisation utilisant NetScaler ADC ou Gateway à traiter ce correctif en urgence.

Des correctifs sont disponibles dans les versions 14.1-72.61, 13.1-63.18 et 13.1-37.272 de NetScaler. Selon les informations les plus récentes, l'avis de sécurité de Citrix lui-même n'avait pas été mis à jour pour reconnaître l'exploitation en conditions réelles. Le service de scan internet Shadowserver a recensé plus de 22 000 appareils NetScaler ADC exposés et près de 1 800 instances Gateway exposées en ligne ; on ignore combien d'entre eux ont déjà appliqué le correctif.