Multiples vulnérabilités affectant les produits Citrix NetScaler ADC et NetScaler Gateway
Plusieurs vulnérabilités ont été découvertes dans les produits Citrix NetScaler ADC et NetScaler Gateway. Elles permettraient à un acteur malveillant de provoquer un déni de service ou de contourner des mécanismes d'authentification sur les équipements affectés.
Description
Contexte technique et détails de la vulnérabilité
NetScaler ADC est un contrôleur réseau conçu pour améliorer les performances, la sécurité et la résilience des applications. NetScaler Gateway est quant à lui une passerelle d'accès offrant des services d'accès distant aux ressources du réseau. Ces produits sont affectés par les vulnérabilités libellées comme suit : CVE-2026-19489 (CVSS 8.8) : vulnérabilité de débordement mémoire due à une restriction incorrecte des opérations dans les limites d'un tampon mémoire, pouvant entraîner un comportement imprévisible ou un déni de service. Elle concerne les équipements sur lesquels SIP ALG est activé dans une configuration Large Scale NAT (LSN) ; CVE-2026-19490 (CVSS 9.3) : vulnérabilité de contournement d'authentification par un chemin alternatif, permettant à un attaquant distant non authentifié de contourner les mécanismes d'authentification. L'exploitation concerne notamment les équipements configurés en passerelle (SSL VPN, ICA Proxy, CVPN, RDP Proxy) ou en serveur virtuel AAA. Pour certaines versions, une configuration SAML est également requise.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Atteinte à la confidentialité des données ;
- Déni de service ;
- Atteinte à l'intégrité des données ;
- Atteinte à la disponibilité des systèmes et des services ;
- Accès non autorisé à des ressources protégées.
Systèmes affectés
Produits, composants et versions concernés
- Produits Citrix NetScaler ADC et NetScaler Gateway exécutant :
- les versions 14.1 antérieures à 14.1-73.32 ;
- les versions 13.1 antérieures à 13.1-63.21 ;
- NetScaler ADC FIPS antérieur à 14.1-73.32 ;
- NetScaler ADC FIPS et NDcPP antérieurs à 13.1-37.277 ;
- Les déploiements Secure Private Access Hybrid utilisant des instances NetScaler sont également concernés.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Appliquer les mises à jour de sécurité publiées par Citrix vers les versions 14.1-73.32, 13.1-63.21, 14.1-73.32 FIPS ou 13.1-37.277 selon la branche utilisée.
Sources & Liens externes
Avis constructeurs et bulletins de référence
- https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX696939&articleTitle=NetScaler_ADC_and_NetScaler_Gateway_Security_Bulletin_for_CVE_2026_19489_and_CVE_2026_19490
- https://www.rapid7.com/blog/post/etr-cve-2026-19490-critical-vulnerability-affecting-citrix-netscaler-adc-and-netscaler-gateway/
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.