Cybersécurité
Citrix NetScaler et Palo Alto : vos équipements de périmètre ont besoin d’attention cette semaine
Les faits
| Équipement | Avis CERT-FR | Risque | Versions corrigées | Exploitation connue |
|---|---|---|---|---|
| Citrix NetScaler ADC et Gateway | CERTFR-2026-AVI-1394 | Exécution de code à distance (CVE-2026-109618 et 109619) | 14.1-73.49, 13.1-64.32 et versions FIPS/NDcPP dédiées | Non précisée |
| Palo Alto PAN-OS | CERTFR-2026-AVI-1396 | Exécution de code, déni de service (CVE-2026-111497, CVSS 9.2) | Correctifs en cours selon les branches 11.2, 12.1 et 12.2 | Aucune connue selon l’éditeur |
Côté Citrix, les deux failles concernent des composants PHP, et l’éditeur renvoie vers ses recommandations pour protéger l’accès à l’interface de gestion. Côté Palo Alto, le problème se situe dans le décodeur Brotli utilisé lors de l’inspection du trafic compressé, uniquement lorsque le déchiffrement TLS est actif. L’interface de gestion n’est pas concernée, et Palo Alto propose un contournement : désactiver l’inspection Brotli.
Pourquoi j’en parle sur un blog sûreté
Parce que ces boîtiers sont très souvent la porte d’entrée de tout le reste. Le VPN NetScaler qui permet au mainteneur de se connecter au serveur de vidéosurveillance, le pare-feu qui protège le VLAN de la GTB ou du contrôle d’accès, la passerelle par laquelle passent les télémaintenances… Quand l’équipement de périmètre tombe, la segmentation qu’on a soigneusement dessinée derrière perd une bonne partie de son intérêt.
Les passerelles VPN et pare-feu sont depuis plusieurs années une cible privilégiée des attaquants, justement parce qu’elles sont exposées sur Internet et donnent accès au réseau interne. Ce n’est pas parce qu’aucune exploitation n’est signalée aujourd’hui qu’il faut attendre.
Ce que je recommande
- Faire l’inventaire : quels sites, quels clients, quelles versions ? Si vous ne savez pas répondre en dix minutes, c’est déjà un sujet.
- Appliquer les correctifs Citrix sans tarder, et vérifier que l’interface d’administration n’est pas joignable depuis Internet.
- Sur Palo Alto, vérifier si l’inspection TLS est active et, en attendant le correctif de votre branche, appliquer le contournement proposé par l’éditeur.
- Coordonner avec la DSI : sur beaucoup de sites, ces équipements ne sont pas gérés par l’intégrateur sûreté. Un simple message pour demander où en est la mise à jour peut éviter bien des surprises.
- Surveiller les journaux de connexion VPN et d’administration dans les jours qui viennent.
Le lien avec NIS2
Pour les entités concernées par NIS2, la gestion des vulnérabilités et la maîtrise des accès distants font partie des exigences de base. Un avis CERT-FR sur un équipement de périmètre, c’est typiquement le genre d’événement pour lequel on doit pouvoir montrer qu’on a réagi : date de prise en compte, décision, correctif appliqué. Un tableau de suivi tout simple suffit souvent pour commencer.
Mon avis
La cybersécurité des systèmes de sûreté ne se joue pas seulement sur la caméra ou la centrale. Elle se joue aussi sur ces boîtiers d’infrastructure qu’on oublie une fois installés. Cette semaine, un petit tour dans vos équipements de périmètre ne sera pas du temps perdu 🙂.