Citrix corrige une faille critique de NetScaler ADC et Gateway, qui peut aussi toucher les versions installées début octobre

Le 8 octobre, Citrix a publié un bulletin de sécurité sur une faille critique (CVE-2026-107406, gravité notée 9,5 sur 10) de NetScaler ADC et NetScaler Gateway, des équipements placés à l’entrée du réseau qui servent notamment de portail d’accès à distance aux applications de l’entreprise. Elle peut permettre d’exécuter du code sur l’appareil à distance ou de le faire planter, lorsqu’il est configuré pour l’authentification SAML (le mécanisme de connexion unique qui délègue l’identification des utilisateurs à un service d’identité). Les versions corrigées sont les 14.1-73.46 et 13.1-64.29 ; le bulletin ne concerne que les appareils gérés par le client, Citrix mettant lui-même à jour ses services cloud. Nous signalions le 5 octobre un précédent correctif, en versions 14.1-73.41 et 13.1-64.28 ; la nouveauté est que ces versions restent vulnérables à la nouvelle faille lorsque l’appareil joue le rôle de fournisseur d’identité SAML, et qu’une mise à jour supplémentaire est donc nécessaire. Aucune attaque exploitant cette faille n’était signalée au 9 octobre, selon BleepingComputer, qui rappelle qu’en mars des failles du même produit avaient été exploitées quelques jours après l’appel de Citrix à les corriger. Ce que cela change pour vous : si votre entreprise ou votre infogérant utilise un NetScaler, demandez-lui si l’authentification SAML y est configurée, quelle version exacte est installée et à quelle date le passage en 14.1-73.46 ou 13.1-64.29 est prévu, sans attendre la prochaine fenêtre de maintenance habituelle.