Le 30 juin 2026, Citrix classait la CVE-2026-8452 comme un simple débordement mémoire. Le 14 août, WatchTowr démontre qu’elle mène à une exécution de code pré-authentification, et le 26 août, la CISA l’inscrit au catalogue KEV avec une échéance fixée au 29 août. Les appliances configurées en serveur VPN ou AAA doivent être patchées aujourd’hui, sans attendre la confirmation officielle de l’exploitation.

Le 19 août 2026, Cloud Software Group publie un bulletin pour NetScaler ADC et NetScaler Gateway : CVE-2026-19490, un contournement d’authentification noté CVSS 9.3 exploitable à distance sans identifiants, et CVE-2026-19489, un déni de service noté 8.8. Toute appliance exposée doit être mise à niveau en urgence, après un triage guidé par la configuration SAML ou vserver.