Faille zero-day de Citrix NetScaler exploitée pour obtenir un accès root

Mandiant et Google Threat Intelligence Group ont documenté l’exploitation active de CVE-2026-88772, une vulnérabilité de pré-authentification affectant les appareils Citrix NetScaler ADC et Gateway et dotée d’un score CVSS de 9,5. La faille concerne la gestion du protocole DTLS et permet de corrompre la mémoire lors de la première négociation, avant que l'utilisateur ne doive s'authentifier, ouvrant ainsi la voie à l'exécution de code et à l'obtention d'un accès root. Les attaquants ont déployé des shells web personnalisés baptisés WHIPSHOT et SLAPSHOT contre des dizaines d'organisations gouvernementales, financières, technologiques, éducatives et juridiques en Amérique du Nord et en Europe. Cette activité remonte au moins aux premiers jours de septembre et a été initialement attribuée à des acteurs avancés, probablement soutenus par un État ; Citrix a également signalé l'exploitation parallèle de CVE-2026-88771. Les organisations doivent immédiatement mettre à jour leurs appliances, rechercher la présence des outils décrits et considérer comme compromis les systèmes vulnérables exposés à Internet, en particulier lorsque DTLS était activé.

Source : Help Net Security