La Cybersecurity and Infrastructure Security Agency (CISA) a récemment inscrit la vulnérabilité CVE-2025-2377 au sein de son catalogue KEV, un registre regroupant les failles activement exploitées dans la nature. Cette inscription intervient dans un contexte de menace croissante visant les appliances réseau critiques telles que NetScaler ADC (Application Delivery Controller) et NetScaler Gateway, deux solutions clés utilisées par des milliers d’organisations à travers le monde pour le VPNTunnel sécurisé entre deux points à travers Internet. Se connecter à distance au SI de l’entreprise. ProtonVPN, l’équilibrage de charge et la gestion des accès distants.
Détails techniques de CVE-2025-2377
Identifiant : CVE-2025-2377
Type de vulnérabilité : Authentication Bypass
Criticité : Élevée (potentiellement critique selon les configurations)
Produits concernés :
NetScaler ADC et Gateway versions 13.1, 14.1
Version 12.1 (déjà en fin de vie – aucun correctif prévu)
Condition requise : Configuration comme gateway (VPNTunnel sécurisé entre deux points à travers Internet. Se connecter à distance au SI de l’entreprise. ProtonVPN virtual server, ICA proxy, CVPN, RDP proxy) ou AAA virtual server
Cette vulnérabilité permet à un acteur malveillant non authentifié de contourner le processus de connexion, accédant ainsi à des services critiques sans disposer de droits légitimes. En clair, il est possible pour un attaquant d’usurper l’identité d’un utilisateur et d’accéder à des ressources internes protégées sans mot de passe.
Exploitations actives déjà observées
La vulnérabilité est activement exploitée dans des attaques en cours, comme l’a confirmé Citrix dans son bulletin de sécurité. La CISA a, de ce fait, jugé nécessaire d’émettre un avis d’urgence à l’intention de toutes les agences fédérales américaines, les sommant de patcher les systèmes vulnérables avant le 29 juillet 2025.
La nature silencieuse de l’exploitation – ne nécessitant aucune interaction de l’utilisateur – rend cette faille particulièrement dangereuse, notamment dans les infrastructures exposées directement sur Internet.
Correctifs disponibles et recommandations
Citrix a publié des mises à jour pour corriger la vulnérabilité dans les versions supportées :
13.1-51.15 et plus
14.1-12.35 et plus
➡️ Les appliances sous la version 12.1, qui est en fin de support depuis 2023, ne recevront aucun correctif. Il est donc impératif de migrer vers une version prise en charge.
Recommandations pour les équipes IT :
Appliquer immédiatement les correctifs proposés par Citrix.
Identifier et retirer les systèmes tournant encore sous la version 12.1.
Surveiller les logs réseau à la recherche d’activités suspectes (accès non authentifiés, flux VPNTunnel sécurisé entre deux points à travers Internet. Se connecter à distance au SI de l’entreprise. ProtonVPN anormaux…).
Limiter l’exposition Internet des services AAA et Gateway si non nécessaires.
Implémenter des protections en amont (WAF, segmentation, MFA) sur les interfaces exposées.
Pourquoi cette vulnérabilité est-elle critique ?
Elle affecte des composants d’accès distants, utilisés pour le VPNTunnel sécurisé entre deux points à travers Internet. Se connecter à distance au SI de l’entreprise. ProtonVPN, l’authentification des utilisateurs ou les accès aux applications critiques.
Le contournement d’authentification permet une compromission complète sans mot de passe, ce qui équivaut à une prise de contrôle immédiate du système.
Le fait qu’elle soit déjà exploitée dans des campagnes réelles augmente le risque pour toutes les organisations utilisant des appliances Citrix NetScaler.
Impacts potentiels en cas de non-correction
Accès non autorisé aux applications métiers internes
Exfiltration de données sensibles
Déploiement de ransomwareMalware qui chiffre les fichiers et demande une rançon. Blocage des fichiers comptables via LockBit. CERT-FR via tunnels VPNTunnel sécurisé entre deux points à travers Internet. Se connecter à distance au SI de l’entreprise. ProtonVPN compromis
Mouvements latéraux au sein du SI à partir du point d’entrée NetScaler
Calendrier de la vulnérabilité
Détection publique : Juin 2025
Publication Citrix : 2 juillet 2025
Ajout au KEV de la CISA : 8 juillet 2025
Date limite imposée par la CISA (pour les agences fédérales US) : 29 juillet 2025
Ressources officielles
Bulletin de sécurité Citrix : support.citrix.com
Catalogue KEV de la CISA : www.cisa.gov
Conclusion
La vulnérabilité CVE-2025-2377 dans Citrix NetScaler illustre une fois de plus la nécessité de surveiller en continu les appliances réseau exposées et de maintenir une hygiène de sécurité rigoureuse, notamment sur les services critiques d’accès distant.
La coordination rapide entre Citrix, la communauté de la cybersécurité, et la CISA a permis une diffusion rapide des correctifs. Il appartient désormais aux organisations de déployer sans délai les mises à jour, sous peine de s’exposer à des compromissions graves.