Une semaine après la découverte de la faille de sécurité PitScaler, une nouvelle vulnérabilité zero-day, CVE-2026-88779, a provoqué des plantages répétés des appareils Citrix NetScaler mis à jour, contraignant les entreprises à réappliquer des correctifs sur leurs systèmes. Citrix décrit cette faille comme une attaque par déni de service, bien que la possibilité d’exécution de code n’ait pas été écartée. Cette vulnérabilité survient à peine quelques jours après la publication de correctifs par l’entreprise pour résoudre des problèmes de sécurité antérieurs, ajoutant une pression supplémentaire sur les administrateurs système. Citrix NetScaler est un appareil qui sert de passerelle d’accès à distance pour les employés d’entreprise et peut également gérer l’authentification SAML, une méthode utilisée pour vérifier les identités des utilisateurs sur différents systèmes. Ces derniers jours, des administrateurs ont signalé que les appareils NetScaler mis à jour, avec les versions 14.1-73.37, censées corriger des problèmes précédents, redémarraient en boucle. Cela a causé des perturbations significatives pour les entreprises dépendant de ces systèmes. Selon SecurityWeek, avant la publication des correctifs, les équipes de support technique de Citrix faisaient face à des délais d’attente prolongés. Les solutions temporaires ne permettaient pas d’éviter les plantages et les redémarrages répétés. Certains clients de Citrix ont même dû débrancher leur matériel lors de la première vague de vulnérabilités. Ceux qui avaient installé le correctif PitScaler ne sont pas non plus épargnés s’ils utilisent SAML, car Citrix a publié un nouveau correctif et demande aux utilisateurs de mettre à jour une seconde fois dans un délai très court. Le chercheur en cybersécurité Kevin Beaumont a observé l’un de ses pots de miel (qui avait été corrigé) exécutant un binaire malveillant récupéré sur le web. Un autre administrateur a trouvé dans ses journaux des noms d’utilisateurs contenant des commandes shell destinées à télécharger et exécuter un fichier. Cependant, ses journaux ne prouvent pas que ces commandes aient effectivement été exécutées. En juin, Citrix avait communiqué sur la CVE-2026-8452, une autre vulnérabilité de débordement de mémoire côté SAML, susceptible de provoquer des « comportements imprévisibles » ou un déni de service. Selon une note de la Cloud Security Alliance, l’organisation watchTowr a démontré en août que cette faille permettait en réalité une exécution de code root sans authentification. Bien qu’aucune indication ne suggère qu’il s’agisse du même bug ici (le plantage actuel concerne le processus nsaaad en boucle), ce n’est pas la première fois que l’explication « il s’agit simplement d’un déni de service » est démentie. Beaumont rappelle également que la CVE-2025-6543 a suivi le même parcours. Citrix a publié des mises à jour corrigeant la vulnérabilité et propose également des listes d’adresses IP malveillantes à bloquer. La CISA a ajouté cette faille à son catalogue le 4 octobre, avec une date limite de correction fixée au 7 octobre pour les agences fédérales américaines. Il s’agit de la sixième vulnérabilité NetScaler exploitée répertoriée par l’agence cette année. Cette vulnérabilité ne touche que les appliances configurées en tant que fournisseur de services (SP) ou fournisseur d’identité (IdP) SAML. Pour vérifier si un système est concerné, il faut consulter la configuration à la recherche d’une ligne add authentication samlAction ou add authentication samlIdPProfile. Si ces lignes sont présentes, les utilisateurs devront installer au moins la version 14.1-73.41 ou 13.1-64.28 selon leur branche (ou 14.1-73.41 FIPS, ou 13.1-37.282 pour FIPS et NDcPP dans la version 13.1), comme l’indique le bulletin de Citrix.