Plusieurs variantes d’un bug critique dans Citrix NetScaler sont en circulation actuellement. Des chercheurs préviennent qu’une grande partie des utilisateurs sont vulnérables.
CVE-2025-5777 (Citrix Bleed 2 pour les intimes) est une vulnérabilité critique dans Citrix NetScaler ADC et NetScaler Gateway. Ce bug permet à des agresseurs de lire à distance et sans authentification des informations sensibles dans la mémoire d’appareils NetScaler. Ils seraient ainsi à même, par exemple, de contourner la vérification multi-facteur ou d’accéder à des sessions d’utilisateurs.
Citrix a entre-temps sorti un correctif, tout en restant silencieuse sur cette vulnérabilité. L’entreprise avait auparavant laissé entendre que le bug n’était pas exploité, mais des chercheurs affirment désormais le contraire. Quelques variantes ‘proof-of-concept’ ont déjà été créées, et la firme de sécurité Reliaquest, entre autres, signale des dommages causés par l’exploitation du bug.
Comme son nom l’indique, il ne s’agit pas du premier bug Citrix Bleed, qui a été découvert en 2023 et largement utilisé par des groupes de piratage au ransomware. Les organisations possédant un appareil Citrix NetScale sont invités à l’actualiser le plus rapidement possible au moyen de la nouvelle mise à jour de sécurité.