NetScaler CVE-2026-88779 : la faille SAML exploitée activement

CISA a ajouté CVE-2026-88779 à son catalogue KEV le 4 octobre 2026, avec une échéance de remédiation fixée au 7 octobre pour les agences fédérales américaines. La faille touche NetScaler ADC et NetScaler Gateway, affiche un CVSS 4.0 de 8.7, et Citrix confirme des attaques ciblées déjà observées contre des appliances non corrigées. Si tu gères un NetScaler exposé sur Internet, ce n’est pas un correctif à mettre dans le backlog du mois prochain.

Ce que fait réellement la faille

C’est un débordement mémoire (CWE-119) qui provoque un déni de service : Citrix indique qu’un déclenchement répété peut rendre le service indisponible, sans impact constaté sur l’intégrité des données. Aucun détail technique d’exploitation n’a été publié par Citrix ni par CISA — seule la conséquence (DoS) est confirmée.

Qui est concerné : la précondition SAML

Toutes les appliances NetScaler ne sont pas exposées. Seules celles configurées en authentification SAML sont vulnérables — soit comme Service Provider (SP), soit comme Identity Provider (IdP) — utilisée en combinaison avec un virtual server Gateway ou AAA. Secure Private Access en déploiement hybride utilisant des instances NetScaler est également concerné.

Pour savoir si tu es exposé, cherche ces deux lignes dans ta configuration running :

add authentication samlAction
add authentication samlIdPProfile

Si l’une des deux apparaît et que du SAML tourne derrière un virtual server Gateway ou AAA, tu es dans le périmètre à patcher en priorité.

Versions affectées et correctifs

Le piège pour qui a déjà patché la semaine dernière

Citrix avait publié, la semaine précédente, un lot de 8 vulnérabilités NetScaler incluant deux failles critiques déjà exploitées, CVE-2026-88771 et CVE-2026-88772, corrigées en 14.1-73.37 et 13.1-64.23. Si tu as appliqué ce correctif et que tu coches la case SAML ci-dessus, tu dois remonter une deuxième fois vers 14.1-73.41 ou 13.1-64.28 : être sur 73.37/64.23 ne protège pas contre CVE-2026-88779, qui est sortie après.

Mitigation temporaire si tu ne peux pas patcher immédiatement

Sur les versions intermédiaires 14.1-73.37 à 73.40 et 13.1-64.23 à 64.27, les signatures Global Deny List réduisent l’exposition si le virtual patching est activé. Vérifie leur présence avec :

show appfw signatures

Ce n’est qu’un pansement. Citrix le dit lui-même : la mise à jour reste nécessaire partout où c’est possible, et les signatures ne remplacent pas le correctif sur les versions plus anciennes que 73.37/64.23.

Pourquoi ne pas se contenter des signatures

Parce qu’un DoS sur une Gateway exposée, ce n’est pas qu’une question de disponibilité du service — c’est l’accès distant de toute ton organisation qui tombe, potentiellement en pleine journée de production. Entre une fenêtre de maintenance programmée pour la mise à jour et une coupure non planifiée pendant les heures ouvrées, le choix ne devrait pas traîner. Priorise les appliances internet-facing et celles qui portent de l’authentification critique (VPN, SSO) avant les instances internes.

FAQ

Mon NetScaler n’utilise pas SAML, suis-je concerné ?

Non, d’après les informations publiées par Citrix : la précondition d’exploitation est la présence d’une configuration SAML (SP ou IdP) associée à un virtual server Gateway ou AAA. Sans SAML, cette CVE précise ne s’applique pas à ton appliance.

J’ai déjà patché en 14.1-73.37 la semaine dernière, c’est suffisant ?

Non si tu utilises SAML : 73.37 corrige CVE-2026-88771 et CVE-2026-88772, pas CVE-2026-88779. Il faut remonter à 14.1-73.41 (ou 13.1-64.28 côté branche 13.1).

Le DoS peut-il être exploité sans authentification préalable ?

Citrix et CISA n’ont publié aucun détail technique sur le vecteur d’exploitation précis — seule la conséquence (déni de service) est confirmée publiquement à ce stade.

Où trouver l’avis officiel complet ?

Dans l’article de support Citrix CTX697174, qui liste les versions exactes et les instructions de mise à niveau pour chaque branche.

Ce n’est pas la première fois cette année qu’un boîtier d’accès distant très répandu se retrouve dans le viseur de CISA à quelques semaines d’intervalle — Cisco, Citrix et Fortinet avaient déjà cumulé trois entrées au catalogue KEV mi-septembre, et la faille ScreenConnect CVSS 9.9 début octobre suit le même schéma : un outil d’accès à distance massivement déployé, une fenêtre de correction courte imposée par une exploitation active. Si tu administres plusieurs appliances NetScaler, le réflexe à prendre maintenant : grep ta config pour la précondition SAML sur chacune, planifie l’upgrade en priorité sur les appliances exposées, et ne t’arrête pas à la fenêtre de remédiation fédérale du 7 octobre — elle ne concerne que les agences US, pas le niveau de risque réel pour ton infrastructure.