Citrix NetScaler ADC & NetScaler Gateway (passerelle AAA / SAML) Hermes évalue la CVE-2026-19490 à 97 (CRITIQUE). En tant que passerelle périmétrique principale protégeant les intranets d'entreprise et les postes de travail virtuels (VDI), ce contournement d'authentification neutralise la frontière de confiance. Les attaquants s'affranchissent totalement des assertions SAML et de l'authentification multifacteur (MFA).
Software platform affected by security vulnerabilities and agentic attack patterns.
“Confirmed security vulnerability in Citrix NetScaler ADC documented in Hermes dossier.”
| Paramètre | Spécification technique | Impact opérationnel |
|---|---|---|
| Identifiant CVE | CVE-2026-19490 | Identifiant mondial de la faille |
| Avis éditeur | CTX-2026-19490 / Cloud Software Group | Bulletin officiel du fournisseur |
| Score CVSS v3.1 / v4.0 | 9.8 / 9.3 (Critique) | Niveau maximal de criticité |
| Score FIRST EPSS | 3,37 % (88,03ᵉ percentile) | Probabilité très élevée d’exploitation |
| Statut CISA KEV | Inscrite le 9 septembre 2026 | Directive fédérale contraignante BOD 26-04 |
| Processus vulnérable | NetScaler Packet Processing Engine (nsppe) | Moteur de paquets et gestion des états AAA |
| Prérequis d’exploitation | Serveur virtuel AAA ou Gateway avec action SAML | Configuration vulnérable requise |
| Vecteur d’attaque | Réseau distant non authentifié (TCP 443 / SSL) | Aucun privilège préalable nécessaire |
| Conséquence directe | Contournement d’authentification vers le réseau interne | Rupture intégrale du périmètre externe |
La vulnérabilité impacte l’ensemble des branches actives supportées de NetScaler ADC et Gateway :
14.1-73.32 ;13.1-63.21 ;14.1-73.32 FIPS ;13.1-37.277.La faille réside dans la machine à états du moteur de paquets NetScaler (nsppe) lors de la réception des rappels du service ACS (Assertion Consumer Service) SAML (classifiée sous CWE-288).
Chaîne d'exploitation technique de la CVE-2026-19490 :
┌─────────────────────────────────────────────────────────────┐ │ 1. Attaquant distant non authentifié │ └──────────────────────────────┬──────────────────────────────┘ │ Requête HTTP POST sur le chemin alternatif ▼ ┌─────────────────────────────────────────────────────────────┐ │ 2. NetScaler Packet Processing Engine (nsppe) │ │ • Correspondance sur un motif d'URL alternatif │ │ • Désérialisation des métadonnées d'assertion │ └──────────────────────────────┬──────────────────────────────┘ │ Court-circuit du filtre de signature IdP ▼ ┌─────────────────────────────────────────────────────────────┐ │ 3. Machine à états AAA (ns_session) │ │ • Absence de contrôle de la signature cryptographique │ │ • Émission d'un cookie de session valide NSC_AAAC │ └──────────────────────────────┬──────────────────────────────┘ │ Session VPN / Gateway autorisée ▼ ┌─────────────────────────────────────────────────────────────┐ │ 4. Accès direct aux réseaux internes et au parc VDI │ │ • Tunnel SSL VPN vers les sous-réseaux d'entreprise │ │ • Rebond ICA Proxy vers contrôleurs Active Directory │ └─────────────────────────────────────────────────────────────┘Dans une cinématique SAML nominale sur NetScaler :
/vpn/index.html) ;/cgi/samlauth ou /saml/login) ;nsppe valide la signature numérique de l’IdP à l’aide du certificat public configuré et alloue la session utilisateur (ns_session).Dans les versions vulnérables, un routage hérité alternatif au sein du répartiteur HTTP interne intercepte les requêtes ciblant certaines variantes d’URL. Lorsqu’un attaquant forge une assertion incomplète sur ce chemin alternatif, la routine d’évaluation considère prématurément la session comme validée sans déclencher l’appel de vérification de signature cryptographique.
L’attaquant injectant directement les attributs utilisateur (NameID, UserPrincipalName), il peut usurper des identités à forts privilèges (administrateurs de domaine). Dès l’obtention du cookie NSC_AAAC, NetScaler autorise l’établissement d’un tunnel réseau complet niveau 3 ou d’un flux ICA/RDP vers les postes de travail internes.
Dès la session Gateway établie :
Ce schéma d’intrusion reproduit fidèlement les campagnes d’exploitation observées sur Cisco Secure FMC CVE-2026-20079 et Ivanti EPMM CVE-2026-1281.
Sous les exigences de la directive CISA BOD 26-04, les équipes d’intervention doivent auditer leurs appliances NetScaler afin d’identifier toute compromission préalable.
Connectez-vous via SSH au shell système de l’appliance NetScaler :
# Accéder au shell FreeBSD sous-jacentshell
# 1. Rechercher les requêtes SAML suspectes validées sans négociation complètegzcat /var/log/ns.log* | grep -iE "(samlauth|alternate_path_indicator)" | grep "AAA_AUTH_SUCCESS"
# 2. Examiner les sessions AAA actives et repérer les anomalies géographiquesnsconmsg -d current -g aaa_tot_sessions
# 3. Contrôler les répertoires web à la recherche de fichiers modifiésfind /netscaler/ns_gui/ /var/vpn/theme/ /var/netscaler/gui/ -type f -mtime -14 -lsArtefacts sur le système de fichiers
.php, .cgi, .sh) dans /var/vpn/theme/ ou /netscaler/ns_gui/vpns/./var/core/ de type nsppe.*.core./etc/crontab ou /var/spool/cron/crontabs/.Anomalies réseau et télémétrie
title: Tentative de contournement SAML Citrix NetScaler CVE-2026-19490id: 7c4e5192-38b1-4f27-a912-8e6f502d9914status: experimentaldescription: Détecte les requêtes HTTP suspectes visant à contourner l'authentification NetScaler Gateway via des chemins alternatifs SAML.references: - https://support.citrix.com/article/CTX691461 - https://www.cisa.gov/known-exploited-vulnerabilities-catalogauthor: Hermes Codex Threat Intelligencedate: 2026-09-09tags: - attack.initial_access - attack.t1190 - cve.2026-19490logsource: product: netscaler service: httpaccessdetection: selection: cs-method: 'POST' cs-uri-stem|contains: - '/saml/' - '/cgi/samlauth' cs-uri-query|contains: - 'bypass' - 'action=skip_verify' condition: selectionfalsepositives: - Sondes de supervision légitimes interrogeant l'IdP.level: criticalalert http $EXTERNAL_NET any -> $HTTP_SERVERS any ( \ msg:"HERMES CODEX - Contournement SAML chemin alternatif Citrix NetScaler (CVE-2026-19490)"; \ flow:to_server,established; \ content:"POST"; http_method; \ content:"/saml/"; http_uri; nocase; \ content:"RelayState="; http_client_body; \ pcre:"/AssertionConsumerServiceURL=[^\r\n&]*[\x00\x20\x2f\x5c]/i"; \ classtype:web-application-attack; \ sid:202619490; rev:1; \)// Détection d'anomalies de sessions AAA et d'indicateurs de contournement sur NetScalerCommonSecurityLog| where DeviceVendor =~ "Citrix" and DeviceProduct =~ "NetScaler"| where Activity =~ "AAA_AUTH_SUCCESS" or Message has "SAML"| where RequestURL has "/saml/" or RequestURL has "/cgi/samlauth"| summarize count(), FirstSeen=min(TimeGenerated), LastSeen=max(TimeGenerated) by SourceIP, DestinationIP, DestinationPort, RequestURL, Message| where count() < 5| sort by LastSeen descIdentifier les instances vulnérables : Exécutez l’audit de configuration sur chaque appliance :
show ns runningConfig | grep -iE "(samlAction|add vpn vserver|add authentication vserver)"Si des actions SAML sont associées à des serveurs virtuels actifs, l’appliance doit être mise à jour d’extrême urgence.
Déployer les versions officielles corrigées : Téléchargez et installez la version officielle recommandée par Citrix :
14.1-73.32 ou ultérieure ;13.1-63.21 ou ultérieure ;14.1-73.32 FIPS ou 13.1-37.277 NDcPP.Terminer les sessions actives et invalider les jetons : Immédiatement après le redémarrage, purgez l’ensemble des sessions AAA pour révoquer tout jeton potentiellement compromis :
kill aaa user -allkill icaconnection -allRévoquer et renouveler les certificats et clés de signature : Renouvelez les clés de signature SAML et réinitialisez les mots de passe des comptes critiques si des indicateurs de compromission ont été détectés lors de l’analyse préalable.