NetScaler : des correctifs PHP pour les interfaces de gestion exposées
Le 27 octobre 2026, le CERT-FR a relayé l’avis Citrix du 26 octobre concernant CVE-2026-109618 et CVE-2026-109619 dans NetScaler ADC et Gateway. Ces deux failles PHP, notées 9,2/10 en CVSS 4.0, peuvent permettre une exécution de code sans authentification dans le processus PHP.
L’apport nouveau concerne les équipements qui embarquent PHP : le portail de gestion NetScaler est affecté. L’éditeur cite les interfaces NSIP, les SNIP autorisant l’administration et l’adresse de gestion des clusters. Il ne faut donc pas confondre exposition du portail administratif et exposition habituelle des applications servies par l’équipement.
Le CERT-FR indique les versions corrigées 14.1-73.49 et 13.1-64.32, ainsi que les branches FIPS correspondantes précisées dans son bulletin. Vérifier la branche exacte avant toute mise à niveau. Citrix confirme la disponibilité de correctifs pour les versions maintenues.
En complément, réserver toutes les interfaces de gestion aux réseaux administratifs de confiance et les isoler d’Internet. Ces restrictions réduisent l’exposition sans remplacer le correctif. Les sources consultées ne démontrent pas une campagne réussie visant spécifiquement NetScaler ; l’existence d’attaques contre PHP ne suffit pas à l’affirmer.
Mots-clés suggérés : cybersécurité, NetScaler, Citrix, PHP, correctifs.
Sources :
Citrix NetScaler Product Security, recommandations mises à jour le 27 octobre 2026
