Citrix NetScaler ADC et Gateway sont activement ciblés par des pirates. La faille utilisée est corrigée, ainsi que deux autres, dans un patch à installer d’urgence.
Citrix met en garde contre trois vulnérabilités critiques dans NetScaler ADC et NetScaler Gateway. L’une d’elles est déjà activement exploitée. Les utilisateurs doivent effectuer une mise à jour dès que possible.
Les problèmes de sécurité sont enregistrés sous les références CVE-2025-7775, CVE-2025-7776 et CVE-2025-8424.
- CVE-2025-7775 concerne une erreur de dépassement de mémoire qui peut entraîner une exécution de code à distance ou un déni de service. Cette faille a un score de 9,2 et est actuellement activement attaquée.
- CVE-2025-7776 est un autre problème de mémoire qui peut entraîner un comportement incorrect ou un déni de service. Ce bug reçoit un score de 8,8.
- CVE-2025-8424 concerne une erreur de contrôle d’accès sur l’interface de gestion, avec un score de 8,7.
Les vulnérabilités affectent NetScaler ADC et NetScaler Gateway 14.1 avant la version 14.1-47.48 et 13.1 avant la version 13.1-59.22. Les versions FIPS et NDcPP de 12.1 et 13.1 sont également touchées. Les installations Secure Private Access sur site et hybrides qui utilisent NetScaler sont vulnérables. Les services cloud gérés de Citrix ont déjà été mis à jour par la société mère Cloud Software Group.
Mise à jour rapide
Cloud Software Group conseille vivement aux clients concernés de procéder à une mise à niveau. Les versions logicielles suivantes sont sécurisées :
- NetScaler ADC et Gateway 14.1-47.48 et versions ultérieures
- NetScaler ADC et Gateway 13.1-59.22 et versions ultérieures
- NetScaler ADC 13.1-FIPS et NDcPP à partir de 13.1-37.241
- NetScaler ADC 12.1-FIPS et NDcPP à partir de 12.1-55.330
Les versions 12.1 et 13.0 sont désormais en fin de vie et ne sont plus prises en charge. Les utilisateurs de ces versions doivent passer à une version prise en charge. Ceux qui ne le font pas risquent d’être ciblés par les pirates qui exploitent activement le bug.
Il n’existe pas de solutions temporaires pour les vulnérabilités. Seule l’installation de la mise à jour logicielle appropriée protège les systèmes. Étant donné que des attaques ont déjà lieu, les administrateurs doivent agir rapidement.
Citrix Bleed
Les clients de Citrix ont fort à faire cet été. Auparavant, des chercheurs en sécurité avaient découvert un bug qui a reçu le nom de Citrix Bleed 2 et qui affectait NetScaler ADC et Gateway. Cette faille a également été corrigée, mais là encore, pas avant que des pirates ne commencent activement à l’exploiter.