Le catalogue des vulnérabilités connues et exploitées de la CISA répertorie une faille supplémentaire de Citrix NetScaler, après les attaques zero-day signalées en septembre. L'agence a ajouté la CVE-2026-88779 le 4 octobre. Elle y décrit une faille liée à un tampon mémoire dans NetScaler ADC et NetScaler Gateway, pouvant provoquer un déni de service.
Cette entrée fait suite à la CVE-2026-88771, que la CISA a ajoutée le 27 septembre. L'agence décrit cette vulnérabilité comme une validation incorrecte des entrées, pouvant permettre à un attaquant non authentifié d'exécuter des commandes arbitraires. Les deux figurent dans la mise à jour du catalogue du 26 octobre, ce qui établit que la CISA les reconnaît comme des vulnérabilités exploitées, tout en distinguant leurs effets potentiels.
Selon le récit de SecurityWeek, des attaquants non identifiés ont commencé à exploiter, vers la mi-septembre, des failles NetScaler auparavant non divulguées. Des analystes des menaces du gouvernement néerlandais et des intervenants privés en réponse aux incidents ont détecté un trafic suspect. Pendant le week-end du 26 septembre, des revendeurs et des bulletins de sécurité ont exhorté les administrateurs à restreindre ou à déconnecter les déploiements exposés à Internet. SecurityWeek indique que Citrix a publié des correctifs ce dimanche-là pour les vulnérabilités répertoriées de la CVE-2026-88771 à la CVE-2026-88778.
NetScaler combine des fonctions telles que le reverse proxy, l'équilibrage de charge, la protection par pare-feu d'applications web et l'accès SSL VPN. Sa position en périphérie du réseau rend lourde de conséquences la distinction entre exécution de commandes et perturbation de service : les deux entrées du catalogue décrivent des capacités différentes et ne doivent pas être traitées comme interchangeables.
Pour la CVE-2026-88771, la CISA exige explicitement une analyse forensique selon la directive BOD 26-04, en plus des mesures d'atténuation prescrites par l'éditeur. Ses notes indiquent que l'exécution des indicateurs de compromission fournis dans la console NetScaler pourrait aider à identifier une exploitation. L'entrée relative à la CVE-2026-88779 indique « No » pour le triage forensique et invite également les organisations à appliquer les mesures d'atténuation de l'éditeur. Les échéances de correction indiquées étaient respectivement le 30 septembre et le 7 octobre.
SecurityWeek a émis l'hypothèse que des identifiants CVE séquentiels non publiés pourraient annoncer d'autres avis. L'entrée datée de la CISA établit que la CVE-2026-88779 a ensuite été répertoriée comme exploitée ; elle n'établit pas le statut des identifiants restants. Le catalogue indique que l'utilisation dans des campagnes de rançongiciels est inconnue pour les deux vulnérabilités répertoriées.
