NetScaler ADC et Gateway touchés par les failles PHP2Shell

Le CERT-FR a publié le 27 octobre 2026 l'avis CERTFR-2026-AVI-1394 : l'accès de gestion de Citrix NetScaler ADC et Gateway est vulnérable aux deux failles PHP surnommées « PHP2Shell », CVE-2026-109618 et CVE-2026-109619. Le risque est une exécution de code arbitraire à distance. Ces deux CVE sont déjà exploitées dans la nature et au catalogue CISA KEV — si vous exposez une interface de gestion NetScaler, traitez-la en priorité.

Ce qui est touché

NetScaler embarque PHP dans son interface d'administration. Le bulletin Citrix CTX697263 du 26 octobre, détaillé dans un billet TechZone « Protecting NetScaler management access from PHP CVE-2026-109618 / CVE-2026-109619 », liste les versions antérieures aux correctifs :

• NetScaler ADC 13.1-FIPS antérieures à 13.1-NDcPP 13.1.37.286
• NetScaler ADC 13.1.x antérieures à 13.1-64.32
• NetScaler ADC 14.1-FIPS antérieures à 14.1-73.49 FIPS
• NetScaler ADC 14.1.x antérieures à 14.1-73.49
• NetScaler Gateway 13.1.x antérieures à 13.1-64.32
• NetScaler Gateway 14.1.x antérieures à 14.1-73.49

Statut d'exploitation

L'avis CERT-FR ne mentionne pas d'exploitation visant spécifiquement NetScaler. En revanche, les deux CVE sous-jacentes — des RCE PHP non authentifiées notées 9.2 — sont confirmées exploitées : CISA les a inscrites à son catalogue KEV le 26 octobre avec une échéance fédérale au 29 octobre. Un correctif NetScaler qui corrige la même pile PHP doit donc être traité avec la même urgence qu'un correctif pour une faille activement exploitée.

Que faire

1. Appliquez les versions NetScaler corrigées ci-dessus (13.1-64.32, 14.1-73.49, variantes FIPS) sans attendre, en commençant par toute instance dont l'interface de gestion est joignable depuis Internet.
2. Restreignez l'accès de gestion à un réseau d'administration dédié ; une interface d'admin NetScaler ne devrait jamais être exposée publiquement.
3. Recherchez dans les journaux de l'interface de gestion les traces d'exploitation PHP2Shell et toute exécution de commande inattendue.
4. En cas d'exposition avérée avant correctif, considérez l'appliance comme potentiellement compromise : rotation des secrets, revue de configuration, chasse aux implants.

Contexte

C'est la retombée attendue de PHP2Shell : une RCE dans l'interpréteur PHP ne reste pas cantonnée aux serveurs web, elle ressort dans tout produit qui embarque PHP — ici l'interface d'administration d'un équipement réseau en bordure. Nous avions couvert les CVE PHP2Shell côté PHP ; NetScaler est le premier équipement de sécurité majeur à hériter du problème, et probablement pas le dernier. Les passerelles NetScaler cumulent déjà une longue série de failles critiques cette année — raison de plus pour verrouiller leur plan de gestion.