Une faille Citrix classée « bug mineur » se révèle être une prise de contrôle totale

Le 30 juin 2026, Citrix publiait un correctif pour une vulnérabilité qu'elle décrivait alors comme un simple débordement de mémoire capable de provoquer un déni de service sur ses appliances NetScaler ADC et NetScaler Gateway. Deux mois plus tard, cette faille, référencée CVE-2026-8452, se révèle bien plus grave : elle permet une prise de contrôle totale des appareils vulnérables, et des attaquants l'exploitent déjà dans la nature.

Un débordement de tas déclenché sans identifiants

Techniquement, CVE-2026-8452 est un débordement de tas (heap overflow) qui se déclenche avant toute authentification, lorsque le service AAA de NetScaler traite un message SAML contenant un « PrefixList » malformé. Concrètement, un attaquant n'a besoin d'aucun compte ni d'aucune interaction de la victime pour atteindre le code vulnérable : il lui suffit d'envoyer une requête à un serveur virtuel Gateway configuré en VPN SSL, ICA Proxy, CVPN ou RDP Proxy, ou à un serveur AAA. Le CVSS 4.0 de la faille est fixé à 8,8, un niveau déjà élevé — celui que Citrix avait retenu en la présentant comme un bug de disponibilité, pas de confidentialité ou d'intégrité.

watchTowr Labs découvre qu'il s'agit d'un RCE complet

Mi-août 2026, les chercheurs de watchTowr Labs ont réanalysé le correctif de juin et démontré qu'il était possible d'enchaîner la vulnérabilité pour obtenir une exécution de code à distance non authentifiée, avec les droits root sur l'appliance — bien au-delà du simple crash décrit initialement. Un changement de catégorie qui vient de chercheurs indépendants, et non d'une reclassification officielle de Citrix, mais qui a immédiatement rebattu les cartes sur l'urgence à traiter le correctif.

« [La faille permettait] une exécution de code à distance non authentifiée et complète, bien au-delà du déni de service » — watchTowr Labs, cité par Help Net Security.

Des web shells déjà déposés, la CISA hausse le ton

Dans la semaine précédant le 27 août 2026, des défenseurs ont observé une exploitation active en conditions réelles : des attaquants déposent des web shells sur des appliances compromises et lancent des commandes de reconnaissance, dans le cadre de campagnes non ciblées visant l'ensemble des appareils exposés sur Internet. La société de surveillance Shadowserver recense plus de 22 000 appliances NetScaler ADC et environ 1 800 instances Gateway accessibles publiquement. Face à cette exploitation confirmée, l'agence américaine de cybersécurité CISA a ajouté CVE-2026-8452 à son catalogue des vulnérabilités activement exploitées (KEV) le 26 août 2026, imposant aux agences fédérales américaines de corriger leurs appliances avant le 29 août.

Ce qui est établi, ce qui ne l'est pas

Ce qui est confirmé : l'exploitation active existe bel et bien, c'est précisément ce qui a justifié l'entrée au catalogue KEV de la CISA, et des chercheurs indépendants ont constaté le dépôt de web shells sur des machines compromises. Ce qui reste flou : l'identité des attaquants, le nombre exact de victimes réellement compromises, et l'objectif final des intrusions — vol de données, déploiement de rançongiciel ou simple prise de pied pour plus tard. Aucune de ces informations n'a été rendue publique à ce stade. Le contexte n'aide pas à relativiser : NetScaler cumule 23 vulnérabilités ajoutées au catalogue KEV depuis novembre 2021, dont 7 ont déjà été exploitées par des groupes de rançongiciel, un historique qui inclut les tristement célèbres failles « CitrixBleed ».

Le cas rappelle un autre bug que KLYNLABS avait déjà pointé comme difficile à corriger réellement, ou encore la façon dont une intrusion isolée peut dégénérer en crise industrielle, comme dans le dossier Snowflake.

Source

BleepingComputer, « CISA: Hackers now exploiting Citrix NetScaler RCE flaw in attacks »