CERTFR-2026-ALE-011

Vulnerability from certfr_alerte - Published: 2026-09-28 - Updated: 2026-09-30

[Mise à jour du 30 septembre 2026]
Dans un billet de blogue du 29 septembre 2026 (cf. section Documentation), Mandiant et Google Threat Intelligence Group (GTIG) fournissent des indicateurs de compromission ainsi que des règles de détection au format YARA. Ceux-ci n'ont pas été qualifiés par l'ANSSI.

Selon Google, la présence de ces motifs est caractéristique d'une exploitation réussie: * 0-PPE-0 : default SSLLOG SSL_HANDSHAKE_FAILURE 0 : SPCBId - ClientIP - ClientPort - VserverServiceIP - VserverServicePort 443 - ClientVersion DTLSv1.0 - CipherSuite "TLS1-AES-256-CBC-SHA" - Session New - Reason "Handshake failure-Internal Error" (dans Syslog) * qat0: Process NSPPE-<##> exit with orphan rings 5:500
pitboss[<##>]: pitboss NOT restarting NSPPE-<##> (\<PID>) (dans /var/log/messages)

Le CERT-FR a également connaissance d'une preuve de concept publique pour la vulnérabilité CVE-2026-88772.

[Publication Initiale]
Le 27 septembre 2026, Citrix a publié un avis de sécurité concernant plusieurs vulnérabilités qui affectent NetScaler ADC et Gateway. Parmi celles-ci, les vulnérabilités CVE-2026-88771 et CVE-2026-88772 permettent une exécution de code arbitraire à distance par un attaquant non authentifié.

Ces vulnérabilités sont activement exploitées et les exploitations ont commencé avant la disponibilité des correctifs.

De plus, l'éditeur indique que si les correctifs n'ont pas été installés, tous les équipements sont vulnérables dans leur configuration par défaut.

Dans son billet de blogue (cf. section Documentation), Citrix indique mettre des indicateurs de compromission à disposition de ses clients par le biais de la console Netscaler.

[Mise à jour du 28 septembre 2026]
Le CERT-FR a connaissance d'une preuve de concept publique pour la vulnérabilité CVE-2026-88771.

Solutions

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Impacted products
Vendor Product Description
Citrix NetScaler ADC Citrix NetScaler ADC versions 14.1-FIPS antérieures à 14.1-73.37 FIPS
Citrix NetScaler ADC Citrix NetScaler ADC versions 13.1-FIPS antérieures à 13.1-NDcPP 13.1.37.279
Citrix NetScaler Gateway NetScaler Gateway versions 13.1.x antérieures à 13.1-64.23
Citrix NetScaler Gateway NetScaler Gateway versions 14.1.x antérieures à 14.1-73.37
Citrix NetScaler ADC Citrix NetScaler ADC versions 14.1.x antérieures à 14.1-73.37
Citrix NetScaler ADC Citrix NetScaler ADC versions 13.1.x antérieures à 13.1-64.23
References

Show details on source website
To clipboard 

{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [
    {
      "description": "Citrix NetScaler ADC versions 14.1-FIPS ant\u00e9rieures \u00e0 14.1-73.37 FIPS",
      "product": {
        "name": "NetScaler ADC",
        "vendor": {
          "name": "Citrix",
          "scada": false
        }
      }
    },
    {
      "description": "Citrix NetScaler ADC versions 13.1-FIPS ant\u00e9rieures \u00e0 13.1-NDcPP 13.1.37.279",
      "product": {
        "name": "NetScaler ADC",
        "vendor": {
          "name": "Citrix",
          "scada": false
        }
      }
    },
    {
      "description": "NetScaler Gateway versions 13.1.x ant\u00e9rieures \u00e0 13.1-64.23",
      "product": {
        "name": "NetScaler Gateway",
        "vendor": {
          "name": "Citrix",
          "scada": false
        }
      }
    },
    {
      "description": "NetScaler Gateway versions 14.1.x ant\u00e9rieures \u00e0 14.1-73.37",
      "product": {
        "name": "NetScaler Gateway",
        "vendor": {
          "name": "Citrix",
          "scada": false
        }
      }
    },
    {
      "description": "Citrix NetScaler ADC versions 14.1.x ant\u00e9rieures \u00e0 14.1-73.37",
      "product": {
        "name": "NetScaler ADC",
        "vendor": {
          "name": "Citrix",
          "scada": false
        }
      }
    },
    {
      "description": "Citrix NetScaler ADC versions 13.1.x ant\u00e9rieures \u00e0 13.1-64.23",
      "product": {
        "name": "NetScaler ADC",
        "vendor": {
          "name": "Citrix",
          "scada": false
        }
      }
    }
  ],
  "affected_systems_content": "",
  "closed_at": null,
  "content": "## Solutions\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 de l\u0027\u00e9diteur pour l\u0027obtention des correctifs (cf. section Documentation).",
  "cves": [
    {
      "name": "CVE-2026-88771",
      "url": "https://www.cve.org/CVERecord?id=CVE-2026-88771"
    },
    {
      "name": "CVE-2026-88772",
      "url": "https://www.cve.org/CVERecord?id=CVE-2026-88772"
    }
  ],
  "initial_release_date": "2026-09-28T00:00:00",
  "last_revision_date": "2026-09-30T00:00:00",
  "links": [
    {
      "title": "Billet de blogue Google du 29 septembre 2026",
      "url": "https://cloud.google.com/blog/topics/threat-intelligence/defending-against-active-exploitation-of-citrix-netscaler-adc-and-gateway-appliances"
    },
    {
      "title": "Billet de blogue Citrix du 27 septembre 2026",
      "url": "https://community.citrix.com/techzone-blogs/110_security-updates/netscaler-adc-and-netscaler-gateway-security-bulletin-for-cve-2026-88771-through-cve-2026-88778/#Indicators_of_Compromise__cabcb4"
    },
    {
      "title": "Avis CERT-FR CERTFR-2026-AVI-1235 du 28 septembre 2026",
      "url": "/avis/CERTFR-2026-AVI-1235/"
    }
  ],
  "reference": "CERTFR-2026-ALE-011",
  "revisions": [
    {
      "description": "Version initiale",
      "revision_date": "2026-09-28T00:00:00.000000"
    },
    {
      "description": "Ajout de l\u0027existence d\u0027une preuve de concept pour la vuln\u00e9rabilit\u00e9 CVE-2026-88771.",
      "revision_date": "2026-09-28T00:00:00.000000"
    },
    {
      "description": "Ajout du billet de blogue Google et des indicateurs de compromission.",
      "revision_date": "2026-09-30T00:00:00.000000"
    },
    {
      "description": "Ajout de l\u0027existence d\u0027une preuve de concept pour la vuln\u00e9rabilit\u00e9 CVE-2026-88772.",
      "revision_date": "2026-09-30T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "D\u00e9ni de service \u00e0 distance"
    },
    {
      "description": "Ex\u00e9cution de code arbitraire \u00e0 distance"
    }
  ],
  "summary": "\u003cspan class=\"important-content\"\u003e[Mise \u00e0 jour du 30 septembre 2026]\u003c/span\u003e\u003cbr\u003e\nDans un billet de blogue du 29 septembre 2026 (cf. section Documentation), Mandiant et Google Threat Intelligence Group (GTIG) fournissent des indicateurs de compromission ainsi que des r\u00e8gles de d\u00e9tection au format YARA. Ceux-ci n\u0027ont pas \u00e9t\u00e9 qualifi\u00e9s par l\u0027ANSSI.\n\nSelon Google, la pr\u00e9sence de ces motifs est caract\u00e9ristique d\u0027une exploitation r\u00e9ussie:\n* \u003ccode\u003e0-PPE-0 : default SSLLOG SSL_HANDSHAKE_FAILURE 0 : SPCBId - ClientIP - ClientPort - VserverServiceIP - VserverServicePort 443 - ClientVersion DTLSv1.0 - CipherSuite \"TLS1-AES-256-CBC-SHA\" - Session New - Reason \"Handshake failure-Internal Error\"\u003c/code\u003e (dans *Syslog*)\n* \u003ccode\u003eqat0: Process \u003cPID\u003e NSPPE-\u003c##\u003e exit with orphan rings 5:500\n\u003cbr\u003epitboss[\u003c##\u003e]: pitboss \u003cDATETIME\u003e NOT restarting NSPPE-\u003c##\u003e (\\\u003cPID\\\u003e)\u003c/code\u003e (dans */var/log/messages*)\n\nLe CERT-FR a \u00e9galement connaissance d\u0027une preuve de concept publique pour la vuln\u00e9rabilit\u00e9 CVE-2026-88772.\n\n**[Publication Initiale]**\u003cbr\u003e\nLe 27 septembre 2026, Citrix a publi\u00e9 un avis de s\u00e9curit\u00e9 concernant plusieurs vuln\u00e9rabilit\u00e9s qui affectent NetScaler ADC et Gateway. \nParmi celles-ci, les vuln\u00e9rabilit\u00e9s CVE-2026-88771 et CVE-2026-88772 permettent une ex\u00e9cution de code arbitraire \u00e0 distance par un attaquant non authentifi\u00e9. \n\nCes vuln\u00e9rabilit\u00e9s sont activement exploit\u00e9es et les exploitations ont commenc\u00e9 avant la disponibilit\u00e9 des correctifs.\n\nDe plus, l\u0027\u00e9diteur indique que si les correctifs n\u0027ont pas \u00e9t\u00e9 install\u00e9s, tous les \u00e9quipements sont vuln\u00e9rables dans leur configuration par d\u00e9faut.\n\nDans son billet de blogue (cf. section Documentation), Citrix indique mettre des indicateurs de compromission \u00e0 disposition de ses clients par le biais de la console Netscaler.\n\n**[Mise \u00e0 jour du 28 septembre 2026]**\u003cbr\u003e\nLe CERT-FR a connaissance d\u0027une preuve de concept publique pour la vuln\u00e9rabilit\u00e9 CVE-2026-88771.",
  "title": "Multiples vuln\u00e9rabilit\u00e9s dans Citrix NetScaler ADC et Gateway",
  "vendor_advisories": [
    {
      "published_at": "2026-09-27",
      "title": "Bulletin de s\u00e9curit\u00e9 Citrix CTX697096",
      "url": "https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX697096\u0026articleURL=Citrix_NetScaler_ADC_and_Citrix_NetScaler_Gateway_Security_Bulletin_for_CVE_2026_88771_CVE_2026_88772_CVE_2026_88773_CVE_2026_88774_CVE_2026_88775_CVE_2026_88776_CVE_2026_88777_and_CVE_2026_88778"
    }
  ]
}



Log in or create an account to share your comment.




Tags
Taxonomy of the tags.





Forecast uses a logistic model when the trend is rising, or an exponential decay model when the trend is falling. Fitted via linearized least squares.

Sightings

Author Source Type Date Other

Nomenclature

  • Seen: The vulnerability was mentioned, discussed, or observed by the user.
  • Confirmed: The vulnerability has been validated from an analyst's perspective.
  • Published Proof of Concept: A public proof of concept is available for this vulnerability.
  • Exploited: The vulnerability was observed as exploited by the user who reported the sighting.
  • Patched: The vulnerability was observed as successfully patched by the user who reported the sighting.
  • Not exploited: The vulnerability was not observed as exploited by the user who reported the sighting.
  • Not confirmed: The user expressed doubt about the validity of the vulnerability.
  • Not patched: The vulnerability was not observed as successfully patched by the user who reported the sighting.



Related by attack behaviour

Vulnerabilities whose description is nearest to this one in the vector space of the CIRCL/vulnerability-attack-technique-biencoder model. This is a similarity search over the bi-encoder space (plain cosine), not a classification, and it has no measured accuracy.