Vulnérabilités Citrix activement exploitées (KEV)

CVE-2026-88779 — Citrix NetScaler : restriction incorrecte des opérations dans les limites d'un tampon mémoire

Produit : Citrix NetScaler
Ajoutée au catalogue : 4 octobre 2026
Échéance CISA : 7 octobre 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-119
Gravité : CVSS 8,7 (élevée)
Probabilité d’exploitation (EPSS) : 11 %
Technologie : Citrix

Citrix NetScaler ADC (anciennement Citrix ADC) et Citrix NetScaler Gateway (anciennement Citrix Gateway) contiennent une vulnérabilité de restriction incorrecte des opérations dans les limites d'un tampon mémoire qui pourrait permettre un déni de service.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · support.citrix.com · community.citrix.com

CVE-2026-88772 — Citrix NetScaler : restriction incorrecte des opérations dans les limites d'un tampon mémoire Critique

Produit : Citrix NetScaler
Ajoutée au catalogue : 27 septembre 2026
Échéance CISA : 30 septembre 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-119
Gravité : CVSS 9,5 (critique)
Probabilité d’exploitation (EPSS) : 78 %
Technologie : Citrix

Citrix NetScaler ADC et NetScaler Gateway contiennent une vulnérabilité de restriction incorrecte des opérations dans les limites d'un tampon mémoire qui pourrait permettre une exécution de code à distance ou un déni de service.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · support.citrix.com · support.citrix.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-88771 — Citrix NetScaler : validation incorrecte des entrées Critique

Produit : Citrix NetScaler
Ajoutée au catalogue : 27 septembre 2026
Échéance CISA : 30 septembre 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-119
Gravité : CVSS 9,5 (critique)
Probabilité d’exploitation (EPSS) : 82 %
Technologie : Citrix

Citrix NetScaler ADC et NetScaler Gateway contiennent une vulnérabilité de validation incorrecte des entrées qui pourrait permettre à un attaquant non authentifié d'exécuter des commandes arbitraires.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · support.citrix.com · support.citrix.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-19490 — Citrix NetScaler : contournement de l'authentification via un chemin ou un canal alternatif Critique

Produit : Citrix NetScaler
Ajoutée au catalogue : 9 septembre 2026
Échéance CISA : 12 septembre 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-288
Gravité : CVSS 9,3 (critique)
Probabilité d’exploitation (EPSS) : 33 %
Technologie : Citrix

Citrix NetScaler ADC et NetScaler Gateway contiennent une vulnérabilité de contournement d'authentification impliquant un chemin ou un canal alternatif. Lorsque l'appliance NetScaler est configurée comme un serveur virtuel AAA ou comme une passerelle (SSL VPN, ICA Proxy, CVPN ou RDP Proxy), un acteur malveillant distant non authentifié peut être en mesure de contourner l'authentification.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · support.citrix.com

Fiche détaillée : versions, références, chronologie →

CVE-2026-8452 — Citrix NetScaler ADC et NetScaler Gateway : restriction incorrecte des opérations dans les limites d'un tampon mémoire

Produit : Citrix NetScaler ADC and NetScaler Gateway
Ajoutée au catalogue : 26 août 2026
Échéance CISA : 29 août 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-119
Gravité : CVSS 8,8 (élevée)
Probabilité d’exploitation (EPSS) : 1 %
Technologie : Citrix

Citrix NetScaler ADC et NetScaler Gateway contiennent une vulnérabilité de restriction incorrecte des opérations dans les limites d'un tampon mémoire qui pourrait entraîner un déni de service.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · support.citrix.com

CVE-2026-3055 — Citrix NetScaler : vulnérabilité de lecture hors limites Critique

Produit : Citrix NetScaler
Ajoutée au catalogue : 30 mars 2026
Échéance CISA : 2 avril 2026
Rançongiciels : pas d’usage connu
Faiblesse : CWE-125
Gravité : CVSS 9,3 (critique)
Probabilité d’exploitation (EPSS) : 91 %
Technologie : Citrix

Citrix NetScaler ADC (anciennement Citrix ADC), NetScaler Gateway (anciennement Citrix Gateway) et NetScaler ADC FIPS et NDcPP contiennent une vulnérabilité de lecture hors limites lorsqu'ils sont configurés comme IDP SAML, ce qui entraîne une lecture mémoire excessive.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.citrix.com

Fiche détaillée : versions, références, chronologie →

CVE-2025-7775 — Citrix NetScaler : vulnérabilité de dépassement de mémoire Critique

Produit : Citrix NetScaler
Ajoutée au catalogue : 26 août 2025
Échéance CISA : 28 août 2025
Rançongiciels : pas d’usage connu
Faiblesse : CWE-119
Gravité : CVSS 9,2 (critique)
Probabilité d’exploitation (EPSS) : 21 %
Technologie : Citrix

Citrix NetScaler ADC et NetScaler Gateway contiennent une vulnérabilité de dépassement de mémoire qui pourrait permettre une exécution de code à distance et/ou un déni de service.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.citrix.com

Fiche détaillée : versions, références, chronologie →

CVE-2024-8069 — Citrix Session Recording : vulnérabilité de désérialisation de données non fiables

Produit : Citrix Session Recording
Ajoutée au catalogue : 25 août 2025
Échéance CISA : 15 septembre 2025
Rançongiciels : pas d’usage connu
Faiblesse : CWE-502
Gravité : CVSS 5,1 (moyenne)
Probabilité d’exploitation (EPSS) : 21 %
Technologie : Citrix

Citrix Session Recording contient une vulnérabilité de désérialisation de données non fiables qui permet une exécution de code à distance limitée avec les privilèges d'un compte NetworkService. L'attaquant doit être un utilisateur authentifié sur le même intranet que le serveur d'enregistrement de session.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.citrix.com

CVE-2024-8068 — Citrix Session Recording : vulnérabilité de gestion incorrecte des privilèges

Produit : Citrix Session Recording
Ajoutée au catalogue : 25 août 2025
Échéance CISA : 15 septembre 2025
Rançongiciels : pas d’usage connu
Faiblesse : CWE-269
Gravité : CVSS 5,1 (moyenne)
Probabilité d’exploitation (EPSS) : 3 %
Technologie : Citrix

Citrix Session Recording contient une vulnérabilité de gestion incorrecte des privilèges qui pourrait permettre une élévation de privilèges jusqu'à l'accès du compte NetworkService. Un attaquant doit être un utilisateur authentifié dans le même domaine Active Directory Windows que le domaine du serveur d'enregistrement de session.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.citrix.com

CVE-2025-5777 — Citrix NetScaler ADC et Gateway : vulnérabilité de lecture hors limites Critique

Produit : Citrix NetScaler ADC and Gateway
Ajoutée au catalogue : 10 juillet 2025
Échéance CISA : 11 juillet 2025
Rançongiciels : utilisée dans des campagnes connues
Faiblesse : CWE-125
Gravité : CVSS 9,3 (critique)
Probabilité d’exploitation (EPSS) : > 99,9 %
Technologie : Citrix

Citrix NetScaler ADC et Gateway contiennent une vulnérabilité de lecture hors limites due à une validation incorrecte des entrées. Cette vulnérabilité peut entraîner une lecture excessive de mémoire lorsque le NetScaler est configuré comme serveur virtuel Gateway (VPN virtual server, ICA Proxy, CVPN, RDP Proxy) OU serveur virtuel AAA.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.citrix.com

Fiche détaillée : versions, références, chronologie →

CVE-2025-6543 — Citrix NetScaler ADC et Gateway : dépassement de tampon Critique

Produit : Citrix NetScaler ADC and Gateway
Ajoutée au catalogue : 30 juin 2025
Échéance CISA : 21 juillet 2025
Rançongiciels : pas d’usage connu
Faiblesse : CWE-119
Gravité : CVSS 9,2 (critique)
Probabilité d’exploitation (EPSS) : 10 %
Technologie : Citrix

Citrix NetScaler ADC et Gateway contiennent une vulnérabilité de dépassement de tampon entraînant un flux de contrôle non intentionnel et un déni de service. NetScaler doit être configuré comme Gateway (serveur virtuel VPN, proxy ICA, CVPN, proxy RDP) OU serveur virtuel AAA.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.citrix.com · netscaler.com

Fiche détaillée : versions, références, chronologie →

CVE-2023-6549 — Citrix, NetScaler ADC et NetScaler Gateway : vulnérabilité de dépassement de tampon

Produit : Citrix NetScaler ADC and NetScaler Gateway
Ajoutée au catalogue : 17 janvier 2024
Échéance CISA : 7 février 2024
Rançongiciels : pas d’usage connu
Faiblesse : CWE-119
Gravité : CVSS 7,5 (élevée)
Probabilité d’exploitation (EPSS) : 58 %
Technologie : Citrix

Citrix NetScaler ADC et NetScaler Gateway contiennent une vulnérabilité de dépassement de tampon qui permet un déni de service lorsqu'ils sont configurés comme un serveur virtuel Gateway (VPN virtual server, ICA Proxy, CVPN, RDP Proxy) ou un serveur virtuel AAA.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.citrix.com

CVE-2023-6548 — Citrix, NetScaler ADC et NetScaler Gateway : vulnérabilité d'injection de code

Produit : Citrix NetScaler ADC and NetScaler Gateway
Ajoutée au catalogue : 17 janvier 2024
Échéance CISA : 24 janvier 2024
Rançongiciels : pas d’usage connu
Faiblesse : CWE-94
Gravité : CVSS 8,8 (élevée)
Probabilité d’exploitation (EPSS) : 3 %
Technologie : Citrix

Citrix NetScaler ADC et NetScaler Gateway contiennent une vulnérabilité d'injection de code qui permet une exécution de code à distance authentifiée sur l'interface de gestion avec accès à NSIP, CLIP ou SNIP.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.citrix.com

CVE-2023-4966 — Citrix, NetScaler ADC et NetScaler Gateway : dépassement de tampon

Produit : Citrix NetScaler ADC and NetScaler Gateway
Ajoutée au catalogue : 18 octobre 2023
Échéance CISA : 8 novembre 2023
Rançongiciels : utilisée dans des campagnes connues
Faiblesse : CWE-119
Gravité : CVSS 7,5 (élevée)
Probabilité d’exploitation (EPSS) : > 99,9 %
Technologie : Citrix

Citrix NetScaler ADC et NetScaler Gateway contiennent une vulnérabilité de dépassement de tampon qui permet une divulgation d'informations sensibles lorsqu'ils sont configurés comme un serveur virtuel Gateway (VPN virtual server, ICA Proxy, CVPN, RDP Proxy) ou un serveur virtuel AAA.

Action requise : Appliquer les mesures d'atténuation et terminer toutes les sessions actives et persistantes selon les instructions de l'éditeur [https://www.netscaler.com/blog/news/cve-2023-4966-critical-security-update-now-available-for-netscaler-adc-and-netscaler-gateway/] OU cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · netscaler.com

CVE-2023-24489 — Citrix Content Collaboration ShareFile : vulnérabilité de contrôle d'accès incorrect

Produit : Citrix Content Collaboration
Ajoutée au catalogue : 16 août 2023
Échéance CISA : 6 septembre 2023
Rançongiciels : pas d’usage connu
Faiblesse : CWE-284
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 97 %
Technologie : Citrix

Citrix Content Collaboration contient une vulnérabilité de contrôle d'accès incorrect qui pourrait permettre à un attaquant non authentifié de compromettre à distance les contrôleurs des zones de stockage ShareFile gérées par le client.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.citrix.com

CVE-2023-3519 — Citrix, NetScaler ADC et NetScaler Gateway : vulnérabilité d'injection de code Critique

Produit : Citrix NetScaler ADC and NetScaler Gateway
Ajoutée au catalogue : 19 juillet 2023
Échéance CISA : 9 août 2023
Rançongiciels : utilisée dans des campagnes connues
Faiblesse : CWE-94
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 100 %
Technologie : Citrix

Citrix NetScaler ADC et NetScaler Gateway contient une vulnérabilité d'injection de code qui permet une exécution de code à distance sans authentification.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.citrix.com

Fiche détaillée : versions, références, chronologie →

CVE-2022-27518 — Citrix, Application Delivery Controller (ADC) et Gateway : contournement de l'authentification

Produit : Citrix Application Delivery Controller (ADC) and Gateway
Ajoutée au catalogue : 13 décembre 2022
Échéance CISA : 3 janvier 2023
Rançongiciels : pas d’usage connu
Faiblesse : CWE-664
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : 7 %
Technologie : Citrix

Citrix Application Delivery Controller (ADC) et Gateway, lorsqu'ils sont configurés avec la configuration SAML SP ou IdP, contiennent une vulnérabilité de contournement de l'authentification qui permet à un attaquant d'exécuter du code en tant qu'administrateur.