La faille ADC inscrite le 13 novembre 2026 à la National Vulnerability Database touche Citrix NetScaler ADC et NetScaler Gateway, et obtient 9,5 sur 10 selon cette fiche. Aucune exploitation n’y est signalée à ce jour. La réaction utile consiste à demander à votre prestataire informatique si vous utilisez ces produits, puis à appliquer les correctifs de l’éditeur dès qu’ils sont disponibles pour vos versions.
C’est quoi ?
Plusieurs défauts de mémoire dans Citrix NetScaler ADC et NetScaler Gateway peuvent faire planter l’accès à distance d’une entreprise.
NetScaler ADC et NetScaler Gateway sont les équipements postés à l’entrée du réseau : ils répartissent le trafic et ouvrent aux employés la porte d’accès à distance. La fiche CVE-2026-107412 décrit plusieurs dépassements de mémoire, c’est-à-dire des situations où l’appareil reçoit plus de données qu’il ne peut en contenir dans son espace de travail. Pensez à la fente à courrier d’une porte d’entrée : si on y pousse un colis trop gros, la fente se coince et plus rien ne passe, pas même le courrier légitime. Selon la fiche NVD, ces défauts peuvent entraîner un comportement imprévisible ou erroné, ainsi qu’un déni de service, soit l’arrêt du service rendu par l’appareil.
Pourquoi c’est grave ?
La gravité est de 9,5 sur 10 selon la fiche NVD, et cette fiche ne signale aucune exploitation à ce jour.
Ce score a été calculé avec l’échelle CVSS 4.0 et attribué par l’organisme déclarant, soit l’organisation autorisée à publier la fiche. En termes d’affaires, si cet équipement s’arrête, l’accès à distance tombe avec lui : télétravail interrompu, succursales coupées des systèmes centraux, commandes qui attendent. La fiche renvoie par ailleurs à cinq autres vulnérabilités publiées pour le même produit dans la même période, ce qui plaide pour une correction planifiée sans tarder.
Ça touche qui ?
Les organisations qui utilisent NetScaler ADC ou NetScaler Gateway, de l’éditeur Citrix.
Les versions touchées et la version corrigée ne sont pas précisées dans la fiche NVD consultée ; celle-ci renvoie à l’avis de sécurité de Citrix, la référence à consulter pour votre installation. Aucun correctif précis ne nous est indiqué, et nous le disons plutôt que de le supposer. Ces produits se trouvent chez les organisations qui donnent un accès à distance à leurs employés, à leurs succursales ou à leurs partenaires. Les secteurs possibles sont variés : groupes de cliniques, transporteurs, manufacturiers, cabinets professionnels, commerces à plusieurs points de vente. Ces équipements peuvent être installés et administrés par un prestataire externe, si bien qu’un dirigeant peut en dépendre sans le savoir.
Comment vérifier dans mon entreprise ?
Quelques questions à votre prestataire informatique suffisent pour savoir si vous êtes concerné.
- Demander si NetScaler ADC ou NetScaler Gateway est en service dans l’entreprise et qui en assure l’administration.
- Faire établir, à partir de l’avis de Citrix, les versions touchées et le correctif applicable à votre installation.
- Faire confirmer que l’interface d’administration de l’équipement, soit la console qui sert à le configurer, n’est pas joignable directement depuis Internet.
- Faire vérifier que l’accès à distance passe par des comptes protégés par authentification à deux facteurs, soit un code à usage unique en plus du mot de passe.
Ce que la faille ADC change pour une organisation d’ici
Pour une entreprise du Québec, le risque décrit ici n’est pas d’abord une fuite de renseignements : c’est une panne d’accès. Les contrôles de cybersécurité de base du Centre canadien pour la cybersécurité recommandent de tenir l’inventaire des équipements exposés à Internet et de les corriger rapidement. Une PME qui sait quels appareils ouvrent ses portes, et qui les corrige sans attendre, réduit fortement son exposition.
Mise en situation
Exemple fictif : un transporteur régional n’a pas appliqué le correctif de son équipement d’accès à distance.
Un lundi matin, l’appareil se bloque. Les répartiteurs n’ouvrent plus les feuilles de route, les chauffeurs attendent au quai, la facturation reste en suspens. Le prestataire est appelé en urgence, diagnostique l’équipement, puis planifie la mise à jour. La journée est perdue, les livraisons glissent au lendemain, et il faut téléphoner aux clients un à un pour annoncer le retard. Rien n’a été volé, mais la confiance a pris un coup.
Quoi faire maintenant
- Dresser avec votre prestataire l’inventaire des équipements Citrix en service et de leurs versions.
- Consulter l’avis de Citrix pour déterminer si vos versions sont touchées et quel correctif s’applique.
- Appliquer les correctifs de l’éditeur dès qu’ils sont disponibles pour vos versions, après les avoir testés si possible.
- Retirer l’interface d’administration de l’accès direct depuis Internet et exiger l’authentification à deux facteurs pour l’accès à distance.
- Surveiller les avis du Centre canadien pour la cybersécurité, car une exploitation pourrait être signalée après la publication de cette fiche.
FAQ
Faut-il tout arrêter en attendant le correctif ?
Non, rien dans la fiche NVD ne justifie un arrêt : elle ne signale aucune exploitation à ce jour. La démarche raisonnable est de confirmer si vous utilisez ces produits, de lire l’avis de Citrix, puis de planifier la correction avec votre prestataire. Indépendamment de cette vulnérabilité, limiter l’exposition des interfaces d’administration reste une bonne pratique ; la fiche ne dit pas pour autant que cette interface serait la voie d’exploitation.
Notre entreprise est petite : sommes-nous vraiment concernés ?
La question n’est pas votre taille, mais votre équipement. Si votre accès à distance repose sur NetScaler ADC ou NetScaler Gateway, la vulnérabilité vise le produit, pas le profil de l’entreprise. Une PME peut utiliser ces appareils par l’intermédiaire d’un prestataire, sans l’avoir en tête. Demandez-lui confirmation : une réponse négative est aussi utile qu’une réponse positive.
Peut-on nous garantir que cela n’arrivera pas ?
Non, et il faut se méfier de tout discours qui promet une protection totale : aucun prestataire ne peut garantir un risque zéro. Ce qui existe, ce sont des gestes qui réduisent fortement l’exposition : inventaire à jour, correctifs appliqués sans délai excessif, interfaces d’administration fermées à Internet, authentification à deux facteurs. Chaque contexte client étant unique, la priorisation se décide avec votre installation sous les yeux.
Sources
- Fiche CVE-2026-107412 de la National Vulnerability Database · NIST, 13 novembre 2026
- Avis de sécurité (support.citrix.com) · support.citrix.com
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- Centre canadien pour la cybersécurité · avis, alertes et mesures de base recommandées
Source : NVD (NIST) · https://nvd.nist.gov/vuln/detail/CVE-2026-107412
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
