Citrix NetScaler ADC et Gateway : failles mémoire critiques permettant un déni de service (CVE-2026-120868)

Ce qui s'est passé

Le 13 novembre 2026, Citrix a publié des mises à jour de sécurité pour NetScaler ADC et NetScaler Gateway (avis CTX697305). La faille la plus largement concernée est CVE-2026-120868 (CVSS 9.3). Il s'agit d'un dépassement de mémoire dans le traitement des paquets, pouvant entraîner un comportement imprévisible ou erroné ainsi qu'un déni de service (DoS). Selon l'avis, elle touche tous les déploiements NetScaler ADC et NetScaler Gateway, quelle que soit leur configuration.

La même version corrige huit autres failles mémoire critiques. Chacune n'a d'importance que si une fonctionnalité précise est configurée :

• CVE-2026-107407 (CVSS 9.3) : dépassement de mémoire dans le trafic SMPP. Touche les serveurs virtuels de répartition de charge ou de commutation de contenu de type SMPP.
• CVE-2026-107408 (CVSS 9.3) : corruption de mémoire dans DNS / DNS-over-HTTPS. Touche les appareils configurés pour la répartition de charge DNS et la résolution DNS récursive.
• CVE-2026-107409 (CVSS 9.3) : corruption de mémoire dans DNS-over-HTTPS. Touche la répartition de charge DNS over HTTPS.
• CVE-2026-107410 (CVSS 9.3) : dépassement de mémoire dans NetScaler Push. Touche les serveurs virtuels de répartition de charge de type PUSH.
• CVE-2026-107412 (CVSS 9.5) : plusieurs dépassements de mémoire. Touche les appareils configurés comme serveur virtuel Gateway ou AAA.
• CVE-2026-107415 (CVSS 9.3) : dépassement de mémoire dans l'authentification par OTP par e-mail. Touche les configurations disposant d'une action e-mail.
• CVE-2026-111344 (CVSS 9.3) : dépassement de mémoire dans Endpoint Analysis (EPA/EPAS). Touche les serveurs virtuels VPN ou AAA utilisant Endpoint Analysis.
• CVE-2026-120864 (CVSS 9.3) : dépassement de mémoire dans le proxy ICA. Touche les serveurs virtuels Gateway VPN, AAA ou CR (de type HDX).

Toutes peuvent entraîner un comportement imprévisible ou un déni de service. À la date de publication, Citrix indiquait ne pas avoir connaissance d'exploitations de ces vulnérabilités. La CISA ne les répertorie pas comme exploitées.

Le même jour, Citrix a également corrigé trois failles dans d'autres produits, chacune faisant l'objet d'un avis distinct :

• CVE-2026-120869 (CVSS 9.4) : contournement d'authentification dans NetScaler Console. Corrigée dans la version 14.1-74.34 et ultérieures.
• CVE-2026-118268 : élévation de privilèges vers SYSTEM dans Secure Access Client pour Windows. Corrigée dans la version 26.11.1.6 et ultérieures.
• CVE-2026-118269 : élévation de privilèges vers root dans Secure Access Client pour Linux. Corrigée dans la version 26.10.4 et ultérieures.

Qui est concerné

Vous êtes concerné par la CVE-2026-120868 si vous exploitez NetScaler ADC ou NetScaler Gateway dans une version antérieure aux versions corrigées suivantes :

• NetScaler ADC et NetScaler Gateway 14.1 : corrigé dans la version 14.1-73.57 et ultérieures
• NetScaler ADC et NetScaler Gateway 13.1 : corrigé dans la version 13.1-64.39 et les versions ultérieures de la branche 13.1
• NetScaler ADC 14.1-FIPS : corrigé dans la version 14.1-73.58 FIPS et les versions ultérieures de la branche 14.1-FIPS
• NetScaler ADC 13.1-FIPS et 13.1-NDcPP : corrigé dans la version 13.1-37.293 et les versions ultérieures des branches 13.1-FIPS et 13.1-NDcPP

Les autres failles de NetScaler ADC et Gateway ne s'appliquent que si la fonctionnalité mentionnée à côté d'elles est configurée. La CVE-2026-120868 ne dépend pas de la configuration : tout appareil en dessous des versions corrigées doit donc être mis à jour.

Les systèmes qui n'utilisent pas NetScaler ne sont pas concernés : serveurs web classiques, serveurs de messagerie ou panneaux d'hébergement. Si vous utilisez uniquement NetScaler Console ou Secure Access Client, consultez les avis Citrix distincts pour ces produits.

Actions à mener immédiatement

1. Recensez toutes les instances NetScaler ADC et NetScaler Gateway, y compris les paires haute disponibilité, les instances VPX dans le cloud et les appareils que vous exploitez pour des clients.
2. Sauvegardez la configuration de chaque instance (ns.conf) avant la mise à niveau.
3. Mettez à niveau vers 14.1-73.57, 13.1-64.39, 14.1-73.58 FIPS ou 13.1-37.293 (FIPS/NDcPP), ou vers une version ultérieure de votre branche. Dans les paires haute disponibilité, mettez à niveau le nœud secondaire en premier, basculez, puis mettez à niveau l'ancien nœud principal.
4. Après le redémarrage, vérifiez que les serveurs virtuels sont opérationnels et que les connexions Gateway, VPN et d'authentification fonctionnent.
5. Si vous utilisez NetScaler Console, mettez-la à jour vers 14.1-74.34 ou ultérieure. Mettez à jour les installations de Secure Access Client sous Windows (26.11.1.6) et Linux (26.10.4).
6. Si vous ne pouvez pas effectuer la mise à niveau immédiatement, limitez l'accès aux interfaces de gestion aux réseaux de confiance et surveillez les appareils pour détecter tout redémarrage ou plantage inattendu jusqu'à l'installation de la mise à jour.

Comment vérifier si vous êtes concerné

Vérifiez la version installée dans l'interface de gestion graphique ou avec la commande CLI show ns version. Si la version est inférieure à la version corrigée de votre branche, l'appareil est vulnérable à la CVE-2026-120868. Pour savoir si les autres failles s'appliquent également, comparez votre configuration aux conditions ci-dessus, par exemple les serveurs virtuels SMPP ou PUSH, la répartition de charge DNS, les serveurs virtuels Gateway/AAA, l'OTP par e-mail, Endpoint Analysis ou le proxy ICA. L'avis CTX697305 de Citrix contient tous les détails.

Sources

• https://nvd.nist.gov/vuln/detail/CVE-2026-120868
• https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX697305