CISA KEV : une vulnérabilité zero-day Citrix NetScaler activement exploitée fait planter les appliances

CISA ajoute CVE-2026-88779, un débordement mémoire Citrix NetScaler exploité, au KEV. Corrigez ADC/Gateway et limitez SAML/administration.

CISA a ajouté CVE-2026-88779, un débordement mémoire dans Citrix NetScaler ADC/Gateway, au catalogue KEV après des preuves d'exploitation active.
Les attaquants peuvent faire planter les appliances et perturber SAML/accès distant ; une exploitation RCE est à l'étude, mais le déni de service est confirmé.
Les équipes K-12 et gouvernementales doivent corriger immédiatement les NetScaler exposés à Internet, restreindre l'administration/SAML et rechercher les plantages ou modifications de configuration.

À faire maintenant

Inventoriez toutes les instances NetScaler ADC/Gateway, leurs versions et leur exposition ; appliquez les mises à jour d'urgence Citrix pour CVE-2026-88779 en changement d'urgence, en priorisant les appliances exposées à Internet et celles qui gèrent SAML/AAA.
Si la correction est retardée, appliquez les mitigations Citrix, désactivez ou restreignez fortement les points de terminaison SAML et l'accès distant, et limitez les interfaces d'administration aux réseaux d'administration de confiance ou au VPN avec MFA.
Surveillez les journaux NetScaler et SAML pour épuisement mémoire, redémarrages inattendus, plantages, assertions anormales, échecs d'authentification, nouveaux comptes, tâches planifiées, connexions sortantes ou modifications de configuration.
Segmentez les appliances des réseaux internes critiques ; appliquez le moindre privilège et MFA pour tout SSO via NetScaler ; préparez une authentification de secours en cas de panne SAML.
Si une compromission est suspectée, isolez, préservez les preuves, faites tourner les identifiants/jetons/certificats/secrets, reconstruisez plutôt que de simplement corriger, et signalez à CISA/Citrix et à votre équipe de réponse aux incidents. Suivez aussi CVE-2026-88771/88772 si applicable.