Mis à jour : le directeur technique de Mandiant estime que les premières intrusions sont probablement l’œuvre d’attaquants avancés, soupçonnés d’agir pour le compte d’un État, sans attribution formelle, selon Help Net Security, 30 septembre 2026. CVE-2026-88771 est depuis exploitée par plusieurs groupes distincts, selon LevelBlue et eSentire cités par The Hacker News, 1er octobre 2026, complété le 6 octobre. Une nouvelle faille 0-day exploitée, CVE-2026-88779 (boîtiers configurés en SAML), oblige à corriger de nouveau, selon BleepingComputer, 4 octobre 2026. Le 9 octobre, la CISA a mis à jour son alerte : elle demande de corriger toute la série CVE-2026-88771 à 88779 plus CVE-2026-107406, et indique que CVE-2026-88771, 88772 et 88779 sont exploitées, selon la CISA.
Mandiant a publié le déroulé d’attaques qui exploitent une faille 0-day des passerelles Citrix NetScaler, suivie d’une persistance furtive. Cette analyse s’adresse aux auditeurs, RSSI et responsables sécurité : mode opératoire, correspondance avec MITRE ATT&CK, signaux de détection, questions d’audit ISO 27001 et pistes de sensibilisation. L’attribution, le nombre de victimes et les techniques précises de vol d’identifiants ne sont pas publics ; l’exploitation de CVE-2026-88771 n’est pas détaillée publiquement.
Pour une lecture orientée dirigeant, voir notre décryptage « Citrix NetScaler : des portes dérobées déguisées en icônes sur les passerelles d’accès à distance ».
Contexte
- Victimes : non nommées publiquement. Organisations en Amérique du Nord et en Europe, dans les secteurs public, services financiers, technologie, éducation, juridique et services professionnels (Mandiant).
- Période : depuis au moins début septembre 2026 ; tentative observée par GreyNoise le 24 septembre ; publication Citrix le 27 septembre ; alerte CERT-FR le 28 septembre (BleepingComputer, CERT-FR).
- Type : exploitation d’une faille 0-day sur une application exposée, persistance par web shell, tunnel vers le réseau interne, vol d’identifiants.
- Attribution : non publiée dans le rapport Mandiant (voir la mise à jour en tête pour l’estimation donnée depuis). Nous ne spéculons pas sur l’auteur.
- Périmètre : Mandiant relie son analyse à CVE-2026-88772. Citrix indique que CVE-2026-88771 est aussi exploitée, mais son mode d’exploitation n’est pas détaillé publiquement.
Mode opératoire : ce qui est documenté et ce qui ne l’est pas
| Étape | Ce qui est rapporté | Correspondance MITRE ATT&CK (notre lecture) |
|---|---|---|
| Accès initial | Enregistrements DTLS malformés pendant la poignée de main, avant authentification. Corruption mémoire dans le moteur réseau (NSPPE), exécution de code avec les droits root sur le système FreeBSD sous-jacent. | T1190 Exploit Public-Facing Application |
| Persistance | Web shells PHP. La configuration du serveur web est modifiée pour faire exécuter comme du PHP des fichiers aux extensions de paquets ou de signatures, et pour rediriger des requêtes d’icônes vers ces fichiers. | T1505.003 Web Shell |
| Camouflage | Web shells stockés sous des extensions anodines, appelés via de fausses icônes ; réponses HTTP 404 factices. | T1036.008 Masquerade File Type |
| Élévation durable | Modification des permissions de l’interpréteur de commandes système (bit setuid) pour que les commandes du web shell, lancées sous un compte web peu privilégié, repassent en root. Redémarrage du boîtier ou du service web pour appliquer. | T1548.001 Setuid and Setgid ; T1529 System Shutdown/Reboot |
| Commande et contrôle | Commandes encodées en Base64 dans des en-têtes HTTP propres à NetScaler. | T1071.001 Web Protocols ; T1132.001 Standard Encoding |
| Effacement de traces | Suppression des références au répertoire du web shell dans la table des tâches planifiées ; Mandiant évoque aussi un effaceur de journaux basé sur des expressions régulières (trous dans les journaux d’accès). | T1070 Indicator Removal |
| Rebond interne | WHIPSHOT (web shell) relaie le trafic vers SLAPSHOT (tunnel TCP en Python, protocole maison en JSON). SLAPSHOT s’arrête seul après 10 minutes d’inactivité. | T1572 Protocol Tunneling ; T1090.001 Internal Proxy |
| Actions sur objectif | Reconnaissance interne et vol d’identifiants menés « à la main » via le tunnel (au moins une intrusion). Les techniques précises de vol d’identifiants ne sont pas détaillées publiquement. | Credential Access (technique non précisée) |
La colonne MITRE est une lecture de notre part, à partir du rapport Mandiant.
Ce qu’on ne sait pas
- Finalité : aucun rançongiciel ni exfiltration massive décrits à ce stade. Le profil observé ressemble plutôt à un accès durable et discret. Information non confirmée.
- Nombre de victimes et techniques précises de vol d’identifiants : non publics.
- Exploitation de CVE-2026-88771 : non détaillée publiquement.
Détection : pourquoi si tard ?
- Angle mort EDR : les NetScaler n’ont pas d’EDR. Mandiant le souligne : ces équipements sont exposés, hors de portée des outils de détection sur poste, et manipulent des identifiants (Mandiant).
- Camouflage efficace : des requêtes vers des icônes qui répondent 404 ne déclenchent pas d’alerte dans une supervision classique.
- Pourtant, des signaux existaient : selon Mandiant, une exploitation réussie laissait deux traces dans les journaux : un échec de poignée de main DTLS avec une erreur interne, et un plantage du moteur NSPPE que le mécanisme de surveillance interne ne redémarrait pas. Autres signaux : des réponses 404 plus lentes et anormalement lourdes (plusieurs kilo-octets). Ces traces ne sont utiles que si les journaux du boîtier sont collectés et analysés.
- Détection externe : GreyNoise a repéré une tentative le 24 septembre avant toute signature CVE, grâce à ses capteurs (BleepingComputer). Plusieurs CERT et agences avaient prévenu des organisations en privé avant l’annonce de Citrix.
Questions d’audit ISO 27001:2022
- A.8.8 (gestion des vulnérabilités techniques) : « Pour les équipements de bordure exposés (VPN, ADC, pare-feu), quel est le délai cible de correction d’une vulnérabilité critique exploitée ? Montrez-moi la preuve pour l’alerte CERT-FR du 28 septembre. Et quand le correctif arrive après l’exploitation, quelle procédure déclenche une recherche de compromission, en plus du correctif ? »
- A.8.9 (gestion de la configuration) : « Existe-t-il une configuration de référence des boîtiers NetScaler (ou équivalents) et un contrôle d’intégrité régulier des fichiers de configuration du serveur web et des permissions des binaires système ? Qui est alerté en cas d’écart ? »
- A.8.15 et A.8.16 (journalisation, activités de surveillance) : « Les journaux système et web des équipements de bordure sont-ils envoyés au SIEM ? Existe-t-il une règle sur les plantages du moteur réseau ou les réponses 404 anormales ? Montrez-moi un exemple d’alerte traitée. »
- A.5.7 et A.5.26 (renseignement sur les menaces, réponse aux incidents) : « Comment l’organisation reçoit-elle et exploite-t-elle les alertes CERT-FR et éditeurs le week-end ? Le plan de réponse prévoit-il l’isolement et la reconstruction d’un équipement de bordure, avec rotation des secrets et certificats ? »
Pistes de sensibilisation
- Atelier équipes IT « Le boîtier qui ment » : montrer en 15 minutes comment une fausse icône et une fausse 404 cachent un web shell, puis faire rechercher les indicateurs publiés par Mandiant sur un environnement de test. Objectif : faire comprendre que « corrigé » ne veut pas dire « sain ».
- Message pour les dirigeants : le télétravail repose sur une porte d’entrée unique. Un exercice sur table « la passerelle VPN est compromise un samedi » permet de tester la décision de couper l’accès distant, les astreintes et la communication.
À lire aussi : notre décryptage pour les dirigeants, « Citrix NetScaler : des portes dérobées déguisées en icônes sur les passerelles d’accès à distance », et le bulletin de veille du 30 septembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.