Le 29 septembre 2026, Mandiant a publié le déroulé des attaques qui exploitent une faille des passerelles Citrix NetScaler. Les attaquants étaient présents depuis au moins début septembre, bien avant le correctif. Leur méthode : cacher du code malveillant derrière des requêtes qui ressemblent à de simples images, sur un équipement que personne ne surveille vraiment.
Mis à jour le 12 octobre 2026 : le directeur technique de Mandiant estime que les premières intrusions sont probablement l’œuvre d’attaquants avancés, soupçonnés d’agir pour le compte d’un État, sans attribution formelle (Help Net Security, 30 septembre 2026). Depuis, l’autre faille (CVE-2026-88771) est exploitée par plusieurs groupes distincts, avant et après la publication d’un code d’exploitation, selon les sociétés LevelBlue et eSentire (The Hacker News, 1er octobre 2026, complété le 6 octobre).
Ce qui s’est passé
Les NetScaler ADC et Gateway sont des boîtiers placés en bordure du réseau : ils servent notamment de porte d’entrée pour le télétravail (accès VPN). Le 27 septembre, Citrix a confirmé deux failles critiques exploitées sur ces équipements, CVE-2026-88771 et CVE-2026-88772, et publié des correctifs. Le CERT-FR a émis une alerte dès le 28 septembre (CERTFR-2026-ALE-011).
Le 29 septembre, Mandiant et Google Threat Intelligence Group ont décrit ce qu’ils ont observé chez des victimes en Amérique du Nord et en Europe : secteur public, finance, technologie, éducation, juridique. Aucune victime n’a été nommée. La société GreyNoise avait repéré une tentative d’exploitation le 24 septembre, trois jours avant l’annonce de Citrix (BleepingComputer, 29 septembre 2026).
Comment l’attaque a fonctionné
- L’entrée. L’attaquant envoie au boîtier des données réseau volontairement mal formées. Le moteur réseau plante et l’attaquant obtient les droits les plus élevés (root), sans mot de passe.
- L’installation. Il modifie la configuration du serveur web du boîtier pour que des fichiers portant une extension anodine (paquet logiciel, signature) soient exécutés comme du code. Il y cache des « web shells », de petits programmes qui permettent de piloter l’équipement à distance.
- Le camouflage. Dans certains cas, le web shell est appelé par une requête qui ressemble à une demande d’icône. Il répond « page introuvable » tout en exécutant les ordres, qui arrivent dissimulés dans les informations techniques de la requête.
- Le rebond. Un petit outil ouvre un tunnel vers le réseau interne. Dans au moins un cas, l’attaquant s’en est servi pour explorer le réseau et voler des identifiants.
Mandiant mentionne aussi un effacement de traces dans les journaux. Aucun rançongiciel ni vol massif de données n’a été décrit à ce stade : le profil ressemble plutôt à un accès durable et discret.
Pourquoi si tard ? Ces boîtiers sont exposés sur Internet mais n’ont pas d’outil de détection comme ceux installés sur les ordinateurs. Des signaux existaient pourtant : un plantage du moteur réseau, ou des réponses « page introuvable » anormalement lentes et lourdes. Encore faut-il que les journaux du boîtier soient collectés et lus.
Ce qu’on ne sait pas encore
Le nombre total de victimes, la finalité exacte des intrusions et la manière précise dont les identifiants ont été volés ne sont pas publics. L’attribution reste au stade du soupçon.
Ce que ça change pour une PME
Beaucoup de PME ont un équipement du même type (VPN, pare-feu, passerelle d’accès) chez Citrix ou un autre fabricant.
- Vérifiez la version avec votre prestataire. Pour Citrix, il faut au minimum les versions 14.1-73.37 ou 13.1-64.23. Plus largement, demandez combien de temps il faut pour corriger un équipement de bordure quand une faille critique est exploitée.
- Corrigé ne veut pas dire sain. Quand l’exploitation a commencé avant le correctif, demandez une recherche de traces de compromission. En cas de doute, le boîtier doit être reconstruit, et tous les mots de passe et certificats qu’il contient changés.
- Faites remonter les journaux de ces équipements vers un outil de surveillance, et pas seulement sur le boîtier lui-même.
- Décidez à l’avance qui peut couper l’accès à distance, y compris un samedi, si l’équipement est suspect.
Dossier : Équipements exposés et correctifs
Cet article prolonge notre bulletin de veille du 30 septembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.