NetScaler: build-uri noi pentru vulnerabilitățile PHP2Shell

Pe 27 octombrie 2026, CERT-FR (ANSSI) a publicat avizul CERTFR-2026-AVI-1394 despre mai multe vulnerabilități din Citrix NetScaler ADC și NetScaler Gateway. Riscul indicat este executarea de cod arbitrar de la distanță. Avizul trimite la buletinul Citrix CTX697263 din 26 octombrie, dedicat vulnerabilităților CVE-2026-109618 și CVE-2026-109619.

Sunt aceiași identificatori ca ai celor două vulnerabilități critice din PHP cunoscute ca PHP2Shell, despre care am scris pe 20 octombrie și pe 23 octombrie. Printre documentele citate de CERT-FR se află și un ghid Citrix intitulat „Protecting NetScaler management access from PHP CVE-2026-109618, CVE-2026-109619”: buletinul aduce așadar pe NetScaler corecțiile pentru cele două vulnerabilități PHP și, judecând după titlul ghidului, problema privește accesul de administrare la echipamente.

Pentru NetScaler este al patrulea buletin într-o lună, după zero-day-urile CVE-2026-88771 și CVE-2026-88772, malware-ul WHIPSHOT și SLAPSHOT folosit în atacuri și CVE-2026-107406 în SAML. În continuare găsești ce este nou: CVE-urile, versiunile afectate și build-urile de instalat.

Ce spune avizul

• Referință: CERTFR-2026-AVI-1394, prima versiune din 27 octombrie 2026.
• Sursa avizului: buletinul de securitate Citrix CTX697263 din 26 octombrie 2026.
• CVE: CVE-2026-109618 și CVE-2026-109619.
• Risc: executarea de cod arbitrar de la distanță.
• Soluție: corecțiile indicate în buletinul Citrix.

Avizul este succint: nu conține scoruri CVSS, condiții de exploatare sau componenta NetScaler implicată și nu vorbește despre exploatări în curs împotriva NetScaler. Acest articol se bazează doar pe avizul CERT-FR: pentru detaliile tehnice, referința este buletinul Citrix.

Așa cum am arătat în articolele despre PHP, cele două vulnerabilități au un scor CVSS 4.0 de 9,2, au fost corectate de proiectul PHP pe 21 octombrie și, după dezvăluire, au fost ținta a numeroase încercări de exploatare împotriva serverelor PHP. Dacă ar fi exploatate pe NetScaler, ar corespunde în MITRE ATT&CK tehnicii T1190 (Exploit Public-Facing Application).

Versiuni afectate

Potrivit CERT-FR, sunt vulnerabile:

• NetScaler ADC 14.1.x anterioare versiunii 14.1-73.49;
• NetScaler ADC 14.1-FIPS anterioare versiunii 14.1-73.49 FIPS;
• NetScaler ADC 13.1.x anterioare versiunii 13.1-64.32;
• NetScaler ADC 13.1-FIPS anterioare versiunii 13.1-NDcPP 13.1.37.286;
• NetScaler Gateway 14.1.x anterioare versiunii 14.1-73.49;
• NetScaler Gateway 13.1.x anterioare versiunii 13.1-64.32.

Pentru ramura 13.1-FIPS, versiunea apare astfel în aviz: verifică numărul exact al build-ului în buletinul CTX697263.

Atenție dacă ai actualizat de curând. Build-urile indicate pe 8 octombrie pentru CVE-2026-107406 (14.1-73.46, 13.1-64.29 și 14.1-73.46 FIPS) sunt anterioare celor din aviz: intră așadar printre versiunile afectate și trebuie actualizate din nou.

Impactul pentru companiile europene și italiene

NetScaler ADC și NetScaler Gateway se află la perimetru și gestionează adesea accesul de la distanță al angajaților și furnizorilor. Executarea de cod de la distanță pe aceste echipamente i-ar oferi unui atacator o poziție privilegiată spre rețeaua internă, așa cum au arătat intruziunile din septembrie.

Patru buletine într-o lună pentru aceleași echipamente pun la încercare procesele de actualizare. Pentru entitățile NIS2, gestionarea vulnerabilităților trebuie documentată, cu priorități și termene explicite: trebuie să poți demonstra că fiecare NetScaler, inclusiv instanțele FIPS și NDcPP, a ajuns la build-urile din 26 octombrie. În sănătate, gateway-ul deschide adesea accesul de la distanță la sistemele clinice și trebuie tratat cu aceeași urgență. Orice incident semnificativ trebuie evaluat în vederea notificării către CSIRT-ul național, care în Italia este CSIRT Italia din cadrul ACN.

Ce trebuie să faci acum

1. Fă inventarul: listează toate echipamentele NetScaler ADC și Gateway, inclusiv instanțele FIPS și NDcPP, cu build-ul instalat.
2. Actualizează: adu echipamentele cel puțin la 14.1-73.49, 13.1-64.32 sau 14.1-73.49 FIPS; pentru 13.1-FIPS și 13.1-NDcPP, la build-ul indicat în buletinul CTX697263. Este valabil și dacă ai actualizat la începutul lui octombrie.
3. Citește ghidul Citrix despre protejarea accesului de administrare împotriva CVE-2026-109618 și CVE-2026-109619 și aplică-l, mai ales dacă nu poți actualiza imediat.
4. Limitează accesul de administrare: ca regulă generală, interfețele de administrare ale echipamentelor de rețea trebuie să fie accesibile doar din rețele și stații administrative, niciodată din Internet.
5. Urmează doar indicațiile Citrix: măsurile de configurare PHP descrise în articolele noastre sunt valabile pentru serverele PHP, nu pentru echipamentele NetScaler.
6. Nu uita de zero-day-urile din septembrie: dacă un echipament era pe un build anterior 14.1-73.37 sau 13.1-64.23, caută semne de compromitere așa cum este descris în articolul despre WHIPSHOT și SLAPSHOT, înainte de actualizare sau odată cu ea.
7. Monitorizează: accesările anormale ale interfețelor de administrare, repornirile neașteptate și conexiunile de ieșire neobișnuite ale echipamentelor trebuie investigate.

Cum te ajută ARXDOME

ARX Expose arată ce servicii expune compania ta pe Internet, ce produse sunt recunoscute pe ele și care au vulnerabilități cunoscute: te ajută să găsești rapid echipamentele NetScaler de actualizat și interfețele de administrare accesibile din exterior. ARX Sentry colectează jurnalele firewall-urilor și ale dispozitivelor de rețea într-un colector central, astfel încât accesările anormale și conexiunile suspecte de la perimetru rămân în atenția analiștilor. Cu ARX Horizon poți consulta din portal vulnerabilitățile și indicatorii de compromitere.

Ultima actualizare: 27 octombrie 2026