NetScaler ADC et Gateway : distinguer les correctifs de septembre et d’octobre avant la récupération

Ce que c'est

État au 25 octobre 2026. Cette comparaison s’appuie sur la révision du 27 septembre 2026 de CTX697096 et celle du 3 octobre 2026 de CTX697174. Avant d’agir, consulter à nouveau les deux bulletins, les chemins de mise à niveau pris en charge et la logique actuelle de détection des indicateurs.

Citrix confirme l’exploitation de CVE-2026-88771, une faille d’exécution de commandes sans authentification qui ne nécessite l’activation d’aucune fonctionnalité particulière, et de CVE-2026-88772, un débordement mémoire touchant les déploiements où DTLS est activé. DTLS est activé par défaut sur les serveurs virtuels VPN. Séparément, CVE-2026-88779 concerne un déni de service sur les appliances configurées comme fournisseurs de services ou d’identité SAML ; CISA l’a ajoutée à son catalogue Known Exploited Vulnerabilities le 4 octobre 2026. Bulletin de septembre, bulletin d’octobre.

Pourquoi c'est important

Les deux bulletins fixent des seuils de correction différents. Un déploiement peut satisfaire au premier bulletin tout en restant affecté par le problème SAML du suivant. Tous deux concernent les appliances gérées par les clients ; l’éditeur prend en charge ses services cloud administrés. La vérification des fonctionnalités détermine l’applicabilité, tandis que la recherche de compromission détermine si la récupération doit aller au-delà d’une mise à niveau.

Comment l'appliquer

• Consigner le build en cours d’exécution de chaque nœud et examiner sa configuration, en utilisant show ns runningConfig lorsque cela convient. Vérifier les paramètres DTLS et la configuration de fournisseur de services ou d’identité SAML. Ne pas supposer que désactiver DTLS supprime l’exposition à la faille qui n’exige aucune fonctionnalité particulière.
• Faire correspondre la branche installée au tableau des builds corrigés de l’éditeur. Dans chaque branche, les versions inférieures au seuil indiqué sont affectées, sous réserve des prérequis de fonctionnalités pertinents. Utiliser la version corrigée appropriée ou une version ultérieure prise en charge dans la même branche.

Branche	Correctif CVE-2026-88771/88772	Correctif CVE-2026-88779
ADC/Gateway 14.1	14.1-73.37	14.1-73.41
ADC/Gateway 13.1	13.1-64.23	13.1-64.28
ADC 14.1-FIPS	14.1-73.37 FIPS	14.1-73.41 FIPS
ADC 13.1-FIPS/NDcPP	13.1-37.279	13.1-37.282

Le premier bulletin écrit aussi le dernier build sous la forme 13.1.37.279 ; confirmer le nom du paquet dans le portail de téléchargement. Tableaux des builds, tableau des builds SAML.

• Avant la récupération, préserver la configuration, les journaux, les paramètres horaires et une archive de diagnostic pour le support ; organiser toute capture mémoire avec les intervenants, car la capture documentée du Packet Engine provoque un redémarrage à chaud. En cas de suspicion de compromission, isoler l’appliance et examiner les systèmes d’authentification et de gestion connectés. Procédure de récupération.
• Lancer l’analyse disponible dans NetScaler Console depuis Security Advisory, en satisfaisant au prérequis de télémétrie. Enquêter sur les résultats Potentially Compromised. Failed to Execute et Skipped ne constituent pas des résultats négatifs. Conserver l’historique des analyses et la révision de la logique de détection ; l’éditeur avertit que les indicateurs ne peuvent pas détecter toutes les compromissions. Documentation de la console.
• Considérer la fermeture des sessions comme une décision de confinement d’incident, à prendre après la collecte des preuves et la mise à niveau de tous les nœuds. kill aaa session -all déconnecte les sessions AAA-TM/VPN actives ; show aaa session affiche les connexions pour un examen ultérieur. Coordonner l’interruption pour les utilisateurs et traiter séparément les autres types de sessions. Ces commandes ne constituent pas une exigence universelle après mise à niveau dans les deux bulletins. Référence des commandes.
• En cas de suspicion de compromission, suivre la procédure d’effacement ou de remplacement propre à la plateforme, installer un firmware corrigé et restaurer une configuration vérifiée datant d’avant la compromission. Remplacer les secrets de service, les identifiants utilisateur et les certificats exposés, puis renouveler les mots de passe locaux restaurés et les clés de chiffrement de clés. Vérifier la configuration et les restrictions d’administration ; Citrix prescrit une surveillance étroite pendant au moins 90 jours après la récupération.

Pièges

Un correctif, une déconnexion des sessions et une recherche d’indicateurs sans anomalie répondent à des questions différentes. Aucun de ces éléments ne prouve à lui seul qu’une intrusion antérieure n’a laissé aucun mécanisme de persistance. Ne pas exposer les services d’administration à l’Internet public et conserver les preuves nécessaires pour analyser les modifications de configuration inattendues.