0-Day Citrix NetScaler & FortiBleed (RDS du 3 au 9 octobre 2026)

FortiBleed- Alerte des autorités américaines sur des attaques visant les pare-feu FortiGate, les experts du service de veille cyber Yuno vous livrent une synthèse des évènements clés pour vous permettre de rester informés et d’anticiper les risques.

‍

Ce résumé vous est partagé par le CERT-XMCO dans le cadre de son service de Veille en Vulnérabilités, Yuno. Demandez une démonstration.

‍

Correctifs

Cette semaine, le CERT-XMCO recommande en priorité l’application des correctifs publiés par Microsoft pour Edge [1] [2] [3], par ArgoCD [4], par Cisco [5], par SonicWall [6], par Veeam pour Backup & Replication [7], par Google pour Chrome [8] [9], par Arista [10], par Atlassian [11], par Progress [12], par Gitlab [13], par OpenOffice [14], par Apache pour Struts [15] et par Citrix pour NetScaler [16]. Ces correctifs remédient à des dommages allant du déni de service à la prise de contrôle du système.

‍

Code d’exploitation

‍

Un code d'exploitation a été publié cette semaine. Un correctif est disponible.

Prise de contrôle du système et contournement de sécurité via une vulnérabilité au sein de produits Atlassian [17]

Un code d'exploitation tirant parti de la vulnérabilité référencée CVE-2026-21589et affectant plusieurs produits Atlassian a été publié. L'exploitation de cette faille permet de contourner la sécurité du système, d'accéder à des informations sensibles voire dans certain cas de prendre le contrôle du système. Dans un premier temps, le template envoie une requête HTTP GET vers une ressource web de Jira, en injectant une séquence de traversée de répertoires (path traversal) utilisant les caractères ..::. Cette séquence exploite une mauvaise interprétation des doubles deux-points par la bibliothèque atlassian-plugins-webresource, permettant de contourner les restrictions d'accès aux fichiers internes de l'application. En l'absence de résultat positif, le template effectue successivement deux requêtes similaires ciblant Confluence puis Bitbucket, en adaptant les chemins de ressourcesutilisés. Ces requêtes cherchent à récupérer les fichiers WEB-INF/web.xml pour Jira et Confluence, et WEB-INF/urlrewrite.xml pour Bitbucket. Enfin, le template vérifie que le serveur retourne un code HTTP 200 et que le corps de la réponse contient les chaînes <web-app ou <urlrewrite, caractéristiques des fichiers recherchés. Lorsque ces conditions sont réunies, la cible est considérée comme vulnérable. Le CERT-XMCO recommande l'installation des correctifs de sécurité publiés par Atlassian : BitbucketData Center, Confluence Data Center, Jira Service Management Data Center, JiraSoftware Data Center, Bamboo Data Center, Crowd Data Center, Crucible et Fisheye.

‍

Informations

FortiBleed: alerte des autorités américaines sur des attaques visant les pare-feu FortiGate [18]

Le 6octobre 2026, le FBI et le Secret Service américains ont alerté sur la poursuite des opérations FortiBleed, une campagne visant les pare-feu FortinetFortiGate et leurs accès VPN SSL (cf. CXN-2026-4675 et CXN-2026-4585). Selon l’avis publié par le FBI, cette campagne repose sur l’exploitation d’identifiants compromis ou réutilisés, et non sur une nouvelle vulnérabilité logicielle. En juillet dernier, SOCRadar avait recensé 86 644 équipements compromis dans 194 pays (cf. CXN-2026-5049). Les attaquants recherchent automatiquement des portails VPN exposés, testent des identifiants issus de fuites antérieures ou de logs d'infostealer, puis récupèrent des données d’authentification pour tenter de casser les mots de passe hors ligne. Ces acteurs malveillants peuvent créer de nouveaux comptes administrateurs, modifier ou supprimer les comptes existants et bloquer l’accès des administrateurs légitimes. Les autorités américaines rappellent également queles accès obtenus ont servi de point d’entrée à des affiliés de ransomware, notamment INC/Lynx et Payload.

Exploitation malveillante de la vulnérabilité CVE-2026-88779 affectant Citrix NetScaler [19]

Le 3octobre 2026, Citrix a signalé l ’exploitation malveillante d’une vulnérabilité 0-day affectant NetScaler ADC et NetScalerGateway (cf. CXA-2026-8095).Référencée CVE-2026-88779, cette faille provenait d'une restriction inappropriée des opérations à l'intérieur des limites d'une mémoire tampon (CWE-119).Elle permettait à un attaquant distant et non authentifié de provoquer un déni de service ou, dans certains cas, d’exécuter du code afin de prendre le contrôle du système. Disposant d'un score de criticité de 8,7/10, elle est exploitable à distance et sans authentification lorsque l’appliance est configurée comme fournisseur de services SAML (SAMLSP) ou fournisseur d’identité SAML (SAMLIdP). Au cours de leurs investigations, des chercheurs ont observé des tentatives d’exploitation contre des appliances NetScaler quiavaient pourtant été corrigées contre de précédentes vulnérabilités 0-daysdivulguées fin septembre. Des analyses menées notamment par watchTowret Bishop Fox, créditées par Citrix, ont confirmé lavulnérabilité CVE-2026-88779et son exploitation malveillante dans la nature. Certains chercheurs ont également rapporté des comportements potentiellement compatibles avec l’exécution de payloads.