Le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR), rattaché à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), a publié le 27 octobre 2026 un avis concernant plusieurs vulnérabilités de Citrix NetScaler ADC et NetScaler Gateway. Ces failles peuvent permettre une exécution de code arbitraire à distance lorsque les interfaces d’administration concernées sont accessibles. L’éditeur annonce désormais la disponibilité de versions corrigées pour les branches prises en charge.
Deux vulnérabilités liées au portail d’administration
Dans son avis CERTFR-2026-AVI-1394, le CERT-FR renvoie au bulletin de sécurité Citrix CTX697263 et aux références CVE-2026-109618 et CVE-2026-109619. Les deux défauts proviennent du composant PHP utilisé par le portail de gestion des équipements. Citrix leur attribue chacun une note de gravité de 9,2 selon la version 4.0 du système CVSS.
Le périmètre technique est précis : il concerne l’interface de gestion associée à l’adresse NetScaler IP (NSIP), les adresses de sous-réseau (SNIP) autorisant l’administration et, le cas échéant, l’interface de gestion de l’adresse IP du cluster. L’éditeur distingue ces accès de gestion du trafic applicatif ordinaire et indique que NetScaler Console, notamment, n’est pas touché par ces deux vulnérabilités.
Les versions à vérifier avant toute mise à jour
L’avis français énumère les versions concernées : NetScaler ADC 13.1.x antérieures à 13.1-64.32 et 14.1.x antérieures à 14.1-73.49, ainsi que NetScaler Gateway sur ces mêmes branches. Pour les déclinaisons FIPS de NetScaler ADC, les seuils indiqués sont 13.1-NDcPP 13.1.37.286 et 14.1-73.49 FIPS. Les administrateurs doivent comparer leur version exacte à la branche correspondante, plutôt que considérer qu’un numéro de version d’une autre branche suffit.
Dans sa mise à jour de sécurité du 27 octobre, Citrix indique avoir diffusé des correctifs pour les versions prises en charge et précise que les builds corrigés des branches 13.1 et 14.1 sont disponibles. L’éditeur recommande leur installation et maintient ses préconisations de restriction des accès d’administration.
Isoler les interfaces de gestion reste une mesure essentielle
La recommandation opérationnelle consiste à limiter les interfaces graphiques et les API d’administration aux postes et réseaux explicitement autorisés, notamment au moyen de listes de contrôle d’accès (ACL). Citrix demande également de maintenir ces interfaces à l’écart d’Internet et de vérifier toutes les adresses IP sur lesquelles la gestion a été activée.
Cette intervention doit être préparée avec soin : une règle trop large peut perturber l’administration, la supervision ou certains flux applicatifs. L’éditeur conseille de préserver les accès nécessaires à NetScaler Console, de contrôler les règles appliquées et de conserver une voie de récupération. L’avis de sécurité CTX697263 fournit le périmètre des produits affectés et renvoie aux instructions de remédiation.
L’alerte du CERT-FR porte sur la possibilité technique d’une compromission à distance ; elle ne constitue pas, à elle seule, la confirmation d’une attaque contre une organisation française. Pour les exploitants de NetScaler, la priorité est de recenser les interfaces exposées, de vérifier les versions installées et d’appliquer les correctifs adaptés.
