Уязвимости памяти в PHP открывают путь к удалённому выполнению кода в Citrix NetScaler ADC и Gateway

Портал управления Citrix NetScaler ADC и NetScaler Gateway работает на PHP, и две уязвимости в этом языке ставят под удар интерфейсы администрирования. Атакующий без аутентификации выполняет свой код в контексте процесса PHP. Citrix подтвердила влияние на обе линейки, ветки 14.1 и 13.1, включая сертифицированные сборки FIPS и NDcPP. Затронуты интерфейсы управления: графический интерфейс по адресу NetScaler IP (NSIP GUI), адреса подсети с разрешённым управлением (SNIP) и Cluster IP в кластерных схемах.

Механика повреждения памяти в PHP и исправленные сборки

NetScaler Console в облачном и локальном исполнении и NetScaler SVM эти уязвимости не затрагивают. Остальные продукты Citrix в бюллетене отмечены как незатронутые. Управляемые облачные сервисы Citrix уже получили исправление, их пользователям действий не требуется.

Обе проблемы связаны с обращением к памяти, которая освобождена или ещё не заполнена. Первая, CVE-2026-109618, проявляется при обработке нехватки памяти: часть данных остаётся неинициализированной, и очистка запроса читает её. Вторая, CVE-2026-109619, оставляет состояние от предыдущего запроса, которое указывает на освобождённую память. Следующий запрос может использовать это состояние до полной инициализации.

Обе уязвимости получили 9.2 из 10 по шкале CVSS (общая система оценки уязвимостей) версии 4.0. Атака идёт по сети, учётные данные и участие пользователя не требуются. Сложность эксплуатации при этом высокая: PHP Group отмечает, что условие воспроизводится несколькими разными способами.

Сведений об эксплуатации в реальных атаках источники не приводят. Публикация бюллетеня означает, что технические детали доступны, а не то, что уязвимости уже используют.

Citrix выпустила исправленные сборки. Для NetScaler ADC и NetScaler Gateway это 14.1-73.49 и более поздние выпуски ветки 14.1, а также 13.1-64.32 и более поздние выпуски ветки 13.1. Для 14.1-FIPS названа сборка 14.1-73.49 FIPS, для 13.1-FIPS и 13.1-NDcPP указана 13.1.37.286. Сам PHP Group закрыл проблему в версиях 8.2.35, 8.3.36, 8.4.27 и 8.5.12.

В записи NetScaler обновление пакета PHP описано как текущая работа, хотя там же сказано, что сборки с исправлением уже вышли. Конкретные версии перечисляет бюллетень CTX697263, последнее изменение которого датировано 27 октября.

До установки обновления доступ к интерфейсам управления ограничивают доверенными сетями. Citrix советует держать их в изолированном сегменте, не открытом в интернет, и администрировать через промежуточные хосты. Руководство по безопасному развёртыванию требует логически или физически отделять интерфейсы управления от трафика данных и полностью закрывать их от интернета.

На устройстве для этого служат списки контроля доступа (ACL) на порты 80 и 443 для каждого адреса с разрешённым управлением. Проверить нужно все адреса, которые открывают управление через графический интерфейс или программный интерфейс (API). При настройке ACL сохраняют доступ NetScaler Console, иначе перестанут работать лицензирование и централизованное управление.

Правила проверяют до завершения сессии, а на случай ошибки держат путь восстановления через консоль устройства. Отдельно учитывают трафик мониторинга, автоматизации, DNS, аутентификации и проверок состояния, иначе запрещающие правила нарушат их работу. Если адрес SNIP или VIP несёт и прикладной трафик, ограничения сужают до портов управления.

Для приложений на PHP за NetScaler выпущена подпись WAF версии 186. WAF - межсетевой экран уровня веб-приложений, который отсекает запросы по сигнатурам. Подписи для защиты самих интерфейсов управления пока в разработке.

Основной риск связан с тем, что уязвимы интерфейсы администрирования, а не прикладной трафик. Закрытие управления от интернета вместе с установкой названных сборок устраняет этот риск.

Механика повреждения памяти в PHP и исправленные сборки

Ссылки