Le 9 octobre 2026, Citrix publie un correctif pour CVE-2026-107406, un débordement mémoire qui permet d’exécuter du code à distance ou de faire planter NetScaler ADC et Gateway configurés en fournisseur ou consommateur SAML. Passez en 14.1-73.46 ou 13.1-64.29, ou désactivez la configuration SAML si elle ne sert pas.
Mandiant et Google Threat Intelligence attribuent la CVE-2026-88772 à un acteur étatique qui exploite la faille DTLS de NetScaler depuis début septembre, chez des dizaines d’organisations. Mettre à jour ne suffit pas : il faut chercher les web shells et pivoter les identifiants volés.
watchTowr documente deux zero-day d’exécution de code à distance dans Citrix NetScaler ADC et Gateway, déjà exploités avant qu’aucun correctif n’existe. Tant que Citrix n’a rien publié, la seule parade est l’isolement : préserver les preuves, couper l’appliance du réseau et garder la gestion hors d’Internet.
Le 30 juin 2026, Citrix classait la CVE-2026-8452 comme un simple débordement mémoire. Le 14 août, WatchTowr démontre qu’elle mène à une exécution de code pré-authentification, et le 26 août, la CISA l’inscrit au catalogue KEV avec une échéance fixée au 29 août. Les appliances configurées en serveur VPN ou AAA doivent être patchées aujourd’hui, sans attendre la confirmation officielle de l’exploitation.
Le 19 août 2026, Cloud Software Group publie un bulletin pour NetScaler ADC et NetScaler Gateway : CVE-2026-19490, un contournement d’authentification noté CVSS 9.3 exploitable à distance sans identifiants, et CVE-2026-19489, un déni de service noté 8.8. Toute appliance exposée doit être mise à niveau en urgence, après un triage guidé par la configuration SAML ou vserver.
