Débordement mémoire conditionné par SAML sur NetScaler — CVE-2026-88779 au KEV (échéance le 7 octobre)
Citrix a divulgué une faille de limites de tampon mémoire dans NetScaler ADC / Gateway (CVE-2026-88779, CVSS v4.0 8.7, CWE-119). Citrix indique avoir observé des attaques ciblées contre des déploiements non atténués, qui peuvent conduire à un déni de service. L'inscription au KEV de la CISA établit l'exploitation de la vulnérabilité, et sa description courte indique que la faille pourrait permettre un déni de service. Aucune des deux sources ne confirme que les déploiements affectés ont été mis hors service. La CISA l'a ajoutée le 4 octobre, avec une échéance fédérale au 7 octobre. Avec CVE-2026-88771 et CVE-2026-88772 (toutes deux ajoutées le 27 septembre), c'est la troisième entrée KEV NetScaler ajoutée en deux semaines, et non la troisième entrée historique du produit (le catalogue contient déjà des entrées antérieures, dont CVE-2023-4966). Les signatures Global Deny List (v24 ou ultérieures) sont la mitigation provisoire, et le correctif est dans 14.1-73.41 / 13.1-64.28 ou ultérieur.
Cet article a été traduit par une machine.
Le 3 octobre (heure d'été du Pacifique), Citrix a publié CVE-2026-88779 pour NetScaler ADC (anciennement Citrix ADC) et NetScaler Gateway (anciennement Citrix Gateway) dans le bulletin de sécurité CTX697174 et un article explicatif communautaire. La vulnérabilité est classée CWE-119 (Restriction inappropriée des opérations dans les limites d'un tampon mémoire) avec un score de base CVSS v4.0 de 8,7 (CNA : NetScaler). Le problème affecte les déploiements NetScaler gérés par le client qui utilisent l'authentification SAML conjointement avec les fonctionnalités Gateway ou AAA. Les versions affectées sont ADC et Gateway 14.1 antérieures à 14.1-73.41 et 13.1 antérieures à 13.1-64.28, ADC FIPS antérieures à 14.1-73.41 FIPS, et ADC FIPS et NDcPP antérieures à 13.1-37.282 (Citrix CTX697174 ; NVD publié le 4 octobre 2026). Citrix indique avoir observé des attaques ciblées contre des déploiements non atténués, qui peuvent conduire à un déni de service. La description courte du KEV de la CISA indique que la faille pourrait permettre un déni de service, et l'inscription établit l'exploitation de la vulnérabilité. Aucune des deux sources ne confirme que les déploiements affectés ont été mis hors service. L'analyse de Citrix n'a identifié aucun impact sur l'intégrité des données clients.
CISA a ajouté la vulnérabilité à son catalogue KEV le 4 octobre, donnant aux agences civiles fédérales jusqu'au 7 octobre pour y répondre (BOD 26-04, trois jours après l'inscription). Les notes KEV exigent l'application des mitigations prescrites par le fournisseur conformément au BOD 26-04 et aux exigences de triage forensique de CISA ; le triage forensique est marqué « Oui » et l'utilisation connue dans des campagnes de rançongiciels est « Inconnue » (catalogue KEV CISA 2026.10.04, 1 734 entrées au total). Citrix propose une auto-vérification de configuration pour les prérequis : un déploiement les remplit s'il est configuré comme SP SAML (add authentication samlAction) ou comme IdP SAML (add authentication samlIdPProfile). Les signatures Global Deny List fournies par Citrix (v24 ou ultérieures) sont disponibles sur 14.1-73.37 ou ultérieures jusqu'à avant 14.1-73.41, et sur 13.1-64.23 ou ultérieures jusqu'à avant 13.1-64.28, avec le patching virtuel NetScaler Console activé et une version chiffrée visible dans show appfw signatures.
Analyse (dissociée du compte rendu) : les deux entrées KEV ajoutées le 27 septembre ne sont pas conditionnées par SAML. CTX697096 indique que CVE-2026-88771 (validation d'entrée inappropriée pouvant permettre à un attaquant non authentifié d'exécuter des commandes arbitraires) concerne tous les déploiements NetScaler ADC et NetScaler Gateway, y compris la configuration par défaut, sans fonction supplémentaire requise. CTX697096 indique que CVE-2026-88772 (un débordement mémoire pouvant conduire à une exécution de code à distance ou à un déni de service) exige DTLS, activé par défaut sur un VPN vServer. Avec CVE-2026-88779, ajoutée le 4 octobre, cela fait trois entrées KEV NetScaler ajoutées en deux semaines. Le catalogue contient déjà des entrées NetScaler antérieures, dont CVE-2023-4966 (ajoutée le 18 octobre 2023) ; ce n'est donc pas la troisième entrée historique du produit. Citrix ne dit pas si ces trois vulnérabilités partagent une cause racine. Les services cloud gérés par Citrix sont hors du bulletin destiné aux déploiements gérés par le client.
Implications pour les défenseurs : (1) si votre environnement comporte une configuration SP ou IdP SAML, vérifiez immédiatement la version déployée par rapport à CTX697174 et mettez à niveau 14.1 vers 14.1-73.41 ou ultérieur, 13.1 vers 13.1-64.28 ou ultérieur, et FIPS / NDcPP vers 14.1-73.41 FIPS / 13.1-37.282 ou ultérieur ; les environnements qui ont déjà effectué une mise à niveau pour CTX697096 (le bulletin CVE-2026-88771 à CVE-2026-88778) ont encore besoin d'une autre mise à niveau s'ils remplissent les prérequis. (2) Comme mitigation provisoire jusqu'à la mise à niveau, appliquez les signatures Global Deny List (v24 ou ultérieures) et contrôlez les compteurs avec stat denylist global AAA_REQUEST. La procédure de vérification de Citrix indique qu'une valeur supérieure à zéro montre que les règles fonctionnent. (3) Les notes KEV mettent forensicTriage à Yes et exigent un triage forensique selon le BOD 26-04. Pour cette vulnérabilité, la condition préalable de CTX697174 est un SP SAML (add authentication samlAction) ou un IdP SAML (add authentication samlIdPProfile). CVE-2026-88771 et CVE-2026-88772 ont d'autres conditions préalables dans CTX697096.