CitrixNetScalerRCEzero-dayKEV

Citrix NetScaler : CVE-2026-88779, une troisième RCE pré-auth qui touche aussi les builds patchés 88771/88772 — KEV CISA

Name: CleanIssue
Price range: €€

Publié le 2026-10-016 min de lectureCleanIssue

> En bref : CISA a inscrit une troisième faille Citrix NetScaler dans la Known Exploited Vulnerabilities. CVE-2026-88779 : exécution de code arbitraire pré-authentification par race condition dans le session manager du Web Interface, CVSS 9.1 — et elle affecte aussi les builds déjà corrigés pour 88771/88772 (14.1-73.37, 13.1-64.23). watchTowr a un PoC, GreyNoise a observé les premières exploitations le 1er octobre, et 43 812 instances restent exposées. Deadline CISA : 30 octobre 2026.

Une faille qui touche les versions qui étaient corrigées

CVE-2026-88779 — use-after-free par race condition dans le session manager du Web Interface. Exécution de code pré-authentification, en root. CVSS 9.1.

Versions affectées : 14.1 jusqu'à 14.1-73.43 et 13.1 jusqu'à 13.1-64.30 — c'est-à-dire y compris les versions que vous avez déployées après la KEV de 88771/88772.

Corrigé dans : 14.1-73.44 et 13.1-64.31 (14.1-FIPS 14.1-73.44+, 13.1-FIPS/13.1-NDcPP 13.1-64.31+).

Trois failles, trois CVSS 9.x, le même gateway, la même entrée pré-auth. Si vous avez patché 88771/88772 le 30 septembre et n'avez rien fait depuis : vous êtes encore vulnérable.

Le mécanisme : deux requêtes, un objet mort

La race condition concerne les objets de session du Web Interface. Une session est créée par une requête d'authentification ; une seconde requête — concurrente, sur un autre thread — manipule l'objet après qu'il a été libéré. Résultat : écriture en mémoire libérée, contrôle de l'exécution, code en root.

Le PoC de watchTowr envoie deux POST concurrents vers \/nf/auth/doAuthentication.do\\, avec un en-tête \X-Nitro-Session-Purge\\ sur la seconde. Pas de session, pas de cookie, pas de token — la même entrée pré-auth que 88771.

La leçon est structurelle : ce n'est plus une entrée qui devient commande shell cette fois, c'est un défaut de concurrence. Les scanners qui testent les entrées ne le trouvent pas. Il faut le patch, et la vérification.

Les exploitations sont déjà observées

GreyNoise : première tentative confirmée le 1er octobre 2026, depuis \185.220.101.74\\. Comportement : création de \/var/tmp/ns_sess\\ puis exécution en root, POSTs sur \/nf/auth/doAuthentication.do\\ à intervalle de 3 ms — la signature d'une race condition.

Palo Alto Networks Unit 42 : 43 812 instances NetScaler exposées publiquement et potentiellement vulnérables au 1er octobre 2026.

Ce qu'il faut vérifier maintenant

Appliquez 14.1-73.44 / 13.1-64.31 (ou les équivalents FIPS), même si vous avez patché 88771/88772 la semaine dernière.

Si vous ne pouvez pas patcher : restreignez l'accès au Web Interface (IP sources, VPN) — un contournement temporaire vaut mieux qu'une exposition permanente.

Cherchez les artefacts : POSTs concurrents sur \/nf/auth/doAuthentication.do\\ à intervalle < 10 ms, fichiers \/var/tmp/ns_sess*\\, comptes locaux inattendus.

Après un incident : révoquez les credentials locaux et la KEK, reconstruisez l'appliance, remplacez les certificats SSL restaurés — même procédure que pour 88771/88772.

La leçon

Une CVE unique est une photo de l'état du gateway, pas de son code. 88771, 88772, 88779 : même point d'entrée, trois mécanismes, trois patchs. Quand un éditeur publie trois RCE pré-auth sur le même module en dix jours, la question n'est plus « quelle version je tourne ? » — c'est « qui teste mon gateway, et à quelle fréquence ? ».

Vous éditez un logiciel ? CleanIssue réalise des audits de sécurité pour votre produit en conditions réelles, sans accès au code. Pour une première lecture de votre exposition, commencez par une revue externe de votre application.

Citrix NetScaler : deux RCE pré-authentification, 50 277 instances exposées, deadline CISA le 30 septembre

CISA inscrit CVE-2026-88771 et CVE-2026-88772 dans la Known Exploited Vulnerabilities : exécution de code avant authentification sur NetScaler ADC et Gateway, CVSS 9.5. watchTowr a un PoC, GreyNoise a observé les premières exploitations le 24 septembre, et plus de 50 000 instances restent exposées.

2026-09-28 · 6 min de lecture

FortinetFortiMail

FortiMail : une RCE pré-authentification sur le service POP3 (CVE-2026-44812) rejoint le CISA KEV

Débordement de tampon dans le service POP3 de FortiMail : exécution de code sans authentification, CVSS 8.8. CISA l'inscrit dans la KEV le 2 octobre (deadline 30 octobre). Corrigé dans 7.6.6 et 8.0.4 — 9 412 instances restent exposées selon Palo Alto Unit 42.

2026-10-02 · 6 min de lecture

Palo AltoPAN-OS

Palo Alto PAN-OS : CVE-2026-0322 exploitée, un patch sans contournement, et 3 jours pour les agences fédérales

CISA ajoute CVE-2026-0322 au KEV le 14 octobre : exécution de code sur l'interface de gestion de PAN-OS, exploitée dans des attaques limitées. Aucun contournement connu, correctifs par branche, date limite fédérale du 17 octobre.

2026-10-14 · 5 min de lecture

Sources

Rédigé par CleanIssue

Revu le 2026-10-01

Services associés

Si ce sujet reflète un risque concret sur votre stack, voici les audits CleanIssue les plus pertinents.

Red Team Agent Express

Savoir rapidement ce qu'un inconnu peut faire faire à votre agent. Rapport en 5 jours.

Red Team sur mesure

Plusieurs agents, des serveurs MCP ou des agents livrés par une agence : sur devis.

Le Shield

Le logiciel qui bloquera les actions non autorisées. En développement, accès anticipé pour les premiers clients.