Citrix NetScaler corrige un contournement d’authentification critique (CVSS 9.3) exploitable sans identifiants

19 août 2026, Cloud Software Group publie le bulletin CTX696939 pour NetScaler ADC et NetScaler Gateway. Au centre, CVE-2026-19490 : un contournement d’authentification noté CVSS v4.0 9.3, exploitable à distance, sans identifiants ni interaction utilisateur. CVE-2026-19489, une seconde faille notée 8.8, complète le bulletin. Pour une appliance qui tient la porte d’entrée VPN de milliers d’entreprises, une seule de ces deux lignes justifie une procédure de mise à jour d’urgence.

Ce que permet exactement la faille

CVE-2026-19490 est classée CWE-288, Authentication Bypass Using an Alternate Path. Concrètement, un attaquant non authentifié peut contourner le contrôle d’accès d’une appliance configurée en Gateway — SSL VPN, ICA Proxy, CVPN ou RDP Proxy — ou en serveur virtuel AAA. Le périmètre de l’exploitation dépend du build installé, et cette distinction est ce qui sépare un triage fin d’une panique générale.

Sur NetScaler 14.1-43.56 et plus récents, ainsi que 13.1-61.28 et plus récents, la faille n’est exploitable que si une action SAML est présente dans la configuration. Sur les builds antérieurs, n’importe quelle configuration Gateway ou vserver AAA suffit à exposer l’appliance. Autrement dit, les versions récentes rétrécissent la surface d’attaque aux déploiements fédérés en SAML, tandis que les anciennes laissent la porte ouverte à tout appareil qui fait du VPN ou de l’authentification.

Citrix fournit un moyen de vérifier sans scanner le réseau. La présence de l’une de ces lignes dans la configuration indique une exposition probable :

# Action SAML configurée (builds 14.1-43.56+ / 13.1-61.28+)
add authentication samlAction .*

# Serveur d’authentification ou VPN présent (builds antérieurs)
add authentication vserver .*
add vpn vserver .*

La faille a été signalée par Samarth Vashisht, de l’équipe de test d’intrusion de JPMorgan Chase — un rappel que les banques auditeuses trouvent ces failles avant les groupes criminels, et que la divulgation coordonnée tient le rôle de filet de sécurité du parc mondial.

La seconde faille, plus silencieuse

CVE-2026-19489 est notée 8.8 et relève de CWE-119, un débordement de mémoire tampon. Elle se déclenche quand le SIP ALG (Application Layer Gateway du protocole de session) est activé dans une configuration de LSN (Large Scale NAT). L’exploitation aboutit à un comportement imprévisible ou à un déni de service complet de l’appliance.

La gravité est moindre, mais le contexte est piégeux : le SIP ALG est précisément le genre d’option qu’on active une fois pour un besoin de téléphonie puis qu’on oublie. Une appliance de terminaison NAT qui tombe emporte avec elle l’accès des télétravailleurs, et un attaquant qui veut seulement casser du service n’a pas besoin de contourner quoi que ce soit.

Pourquoi c’est grave, au-delà du score

Les scores sont élevés, mais ce qui compte ici, c’est la position de l’appliance. NetScaler ADC fait de la terminaison SSL, du load balancing et de la sécurité applicative ; NetScaler Gateway porte l’accès distant et le VPN. Les deux siègent à la périphérie, souvent en DMZ, exposés sur Internet. Un contournement d’authentification sur ce type d’équipement équivaut à neutraliser le contrôle d’accès avant même d’atteindre le réseau interne.

L’histoire récente le confirme. CVE-2019-19781, le fameux « Shitrix », a été exploité en masse quelques jours après sa publication en janvier 2020 ; CVE-2023-3519 a suivi le même scénario en 2023. Les appliances Citrix figurent parmi les cibles les plus scannées de l’Internet dès qu’un bulletin sort. Au 19 août 2026, Rapid7 indique ne pas avoir observé d’exploitation active de CVE-2026-19490 — mais ce statut vaut rarement plus de quelques jours pour une faille d’authentification sur un équipement de bordure.

Ce qu’il faut faire maintenant

Les versions corrigées sont les suivantes :

• NetScaler ADC et Gateway 14.1 : 14.1-73.32 et versions ultérieures.
• NetScaler ADC et Gateway 13.1 : 13.1-63.21 et versions ultérieures de la branche 13.1.
• NetScaler ADC 14.1-FIPS : 14.1-73.32 FIPS et ultérieures.
• NetScaler ADC 13.1-FIPS et 13.1-NDcPP : 13.1-37.277 et ultérieures.

Le bulletin ne couvre que les instances gérées par le client. Cloud Software Group annonce avoir déjà patché ses services managés dans le cloud et son offre Adaptive Authentication. En revanche, les déploiements Secure Private Access Hybrid qui s’appuient sur des instances NetScaler autogérées sont exposés et doivent recevoir les mêmes mises à niveau.

L’ordre des opérations compte plus que la vitesse brute. D’abord, inventoriez les appliances et déterminez le build de chacune ; ensuite, triez avec les commandes ci-dessus — une appliance récente sans action SAML reste vulnérable à CVE-2026-19489, mais pas à la faille critique. Puis patchez en commençant par les appliances exposées sur Internet, qui sont la cible des scans automatisés. Enfin, si une montée de version immédiate est impossible, retirez l’interface de gestion d’Internet et restreignez l’accès VPN aux plages d’adresses légitimes en attendant la fenêtre.

Verdict

Si vous exploitez un NetScaler ADC ou Gateway connecté à Internet, montez en 14.1-73.32+ ou 13.1-63.21+ dans les 72 heures — l’historique des failles Citrix dit que le scan automatisé suit le bulletin de quelques jours, pas de quelques semaines. Si votre appliance est récente et sans action SAML, vous êtes hors du périmètre de CVE-2026-19490, mais restez concerné par CVE-2026-19489 : planifiez la montée de version dans le cycle normal plutôt que de la décaler. Et si vous gérez du Secure Private Access Hybrid, traitez vos instances comme autogérées — le correctif côté cloud ne vous couvre pas.

Références

• Citrix — NetScaler ADC and NetScaler Gateway Security Bulletin for CVE-2026-19489 and CVE-2026-19490 (CTX696939)
• Rapid7 — CVE-2026-19490: Critical Vulnerability Affecting Citrix NetScaler ADC and NetScaler Gateway
• Cyber Security News — Critical Citrix NetScaler Flaw Lets Remote Attackers Bypass Authentication Without Credentials