# Une faille critique de Citrix NetScaler activement exploitée, plus de 22 000 appareils exposés

> Le contournement d'authentification CVE-2026-19490 touche NetScaler ADC et Gateway ; des tentatives d'exploitation ont déjà été repérées depuis trois pays.

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/citrix-netscaler-faille-authentification-exploitee
- Auteur : Kelvyn
- Publié le : 5 septembre 2026 (2026-09-05T03:18:00.000Z)
- Mis à jour le : 5 septembre 2026 (2026-09-05T04:49:44.407Z)
- Rubrique : Cybersécurité
- Sujets : Cybersécurité, Citrix, NetScaler, Zero-day, VPN, Entreprise
- Langue : français

Encore une appliance d'entreprise dans le viseur des attaquants : Citrix a confirmé qu'une faille touchant NetScaler ADC et NetScaler Gateway fait l'objet de tentatives d'exploitation actives, à peine quelques jours après sa divulgation publique.

## Un contournement d'authentification, pas une exécution de code

La vulnérabilité, référencée **CVE-2026-19490**, permet à un attaquant non authentifié de contourner les mécanismes de vérification sur les serveurs virtuels AAA ou Gateway, ceux qui gèrent notamment le SSL VPN, le proxy ICA, le CVPN ou le proxy RDP. L'ampleur exacte de ce que l'attaquant peut faire une fois l'authentification contournée dépend de la version du firmware et de la configuration SAML en place, ce qui rend l'impact variable d'une organisation à l'autre plutôt qu'uniforme.

C'est une nuance importante : contrairement à une exécution de code à distance qui offrirait un contrôle total immédiat, ce contournement ouvre une porte dont la profondeur dépend du paramétrage existant. Cela n'en fait pas une faille mineure pour autant, puisqu'elle touche des passerelles d'accès distant par nature exposées sur Internet.

## Exploitation confirmée depuis trois pays

Selon la société de veille en vulnérabilités Previdian, dont le chercheur Ryan Dewhurst suit le dossier, trois adresses IP distinctes situées en Australie, aux États-Unis et en Allemagne ont lancé le 3 septembre des requêtes correspondant à un code de démonstration publié en ligne. Le Centre pour la Cybersécurité Belgique a de son côté également signalé des tentatives d'exploitation sur son périmètre national.

Il faut là aussi rester précis sur ce qui est établi : ces observations attestent de tentatives d'exploitation, pas de compromissions confirmées. Aucune des deux sources ne fait état, à ce stade, d'un vol de données avéré ou d'une intrusion menée à son terme sur un système identifié.

## Un parc d'appareils largement exposé

D'après les chiffres du service de cartographie Shadowserver, plus de **22 000 appareils NetScaler ADC** et près de **1 700 instances Gateway** restent accessibles directement depuis Internet à l'heure actuelle. C'est ce volume qui inquiète les équipes de sécurité : chaque appareil non patché constitue une cible potentielle, et les passerelles VPN d'entreprise sont précisément le genre de point d'entrée qui, une fois franchi, donne accès au réseau interne.

Citrix a publié le correctif dans son bulletin de sécurité **CTX696939** et recommande une mise à jour immédiate de tous les appareils concernés, sans délai de grâce. L'éditeur ne détaille pas le nombre de clients déjà touchés par une exploitation réussie.

## Un scénario qui devient une habitude

Ce n'est pas la première fois que NetScaler se retrouve sous le feu des projecteurs pour ce type de faille, les appliances d'accès distant de Citrix ayant déjà fait l'objet de plusieurs alertes similaires ces dernières années. La mécanique est désormais bien identifiée : preuve de concept publiée, exploitation opportuniste en quelques jours, puis course de vitesse entre les équipes IT et les attaquants. C'est le même schéma qui a joué pour la [faille Zimbra imposée en urgence par la CISA](https://klynlabs.eu/articles/faille-zimbra-exploitee-la-cisa-impose-un-patch-en-trois-jours) ou pour la [faille Langflow exploitée pour voler des clés OpenAI et AWS](https://klynlabs.eu/articles/faille-langflow-rails-exploitee-vol-cles-openai-aws) : dans les trois cas, la vitesse de patch des équipes IT compte davantage que la seule existence d'un correctif disponible.

## À retenir

- CVE-2026-19490 permet de contourner l'authentification sur les serveurs virtuels AAA et Gateway de Citrix NetScaler ADC et Gateway.
- Des tentatives d'exploitation ont été observées le 3 septembre depuis l'Australie, les États-Unis et l'Allemagne, ainsi qu'en Belgique.
- Plus de 22 000 appareils NetScaler ADC et 1 700 instances Gateway restent exposés directement sur Internet.
- Le correctif est disponible dans le bulletin Citrix CTX696939 ; une mise à jour immédiate est recommandée.
- Aucune compromission confirmée n'est documentée à ce stade, seulement des tentatives d'exploitation.

## Source

Article basé sur les informations de [BleepingComputer](https://www.bleepingcomputer.com/news/security/hackers-target-critical-citrix-netscaler-auth-bypass-in-attacks/).

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/citrix-netscaler-faille-authentification-exploitee