Ce qu’il faut retenir
Peplink a publié un avis de sécurité sur deux vulnérabilités (CVE-2026-109618 et CVE-2026-109619), regroupées sous le nom « PHP2Shell ». Elles touchent le panneau de contrôle d'InControl Virtual Appliance (ICVA) en version 2.14.3 et antérieures. Elles touchent aussi certains routeurs Balance et MAX dont la fonction Edge Computing (EC) est activée, en firmware 8.6.1 GA. Des correctifs et des mesures d'atténuation sont disponibles. Ce sont des failles du langage PHP, utilisé par ces produits. La base NVD les note 9,8 (critique) et 8,1 (élevé). L’avis ne précise pas d’exploitation active.
Qui est concerné ?
| Constructeur | Peplink |
| Versions concernées | ICVA : 2.14.3 et antérieures Routeurs Balance et MAX avec Edge Computing : firmware 8.6.1 GA |
| Source | Avis officiel Peplink |
1) Les organisations utilisant ICVA en version 2.14.3 ou antérieure, dont le panneau de contrôle est accessible sur le port TCP 4443. 2) Celles utilisant des routeurs Peplink Balance ou MAX avec la fonction Edge Computing (EC) activée et en cours d'exécution, en firmware 8.6.1 GA. La fonction EC est désactivée par défaut. Le service hébergé InControl 2 (incontrol2.peplink.com) n'est pas concerné.
Quel est le risque concret ?
Gravité technique : score CVSS de 9,8 (critique) pour CVE-2026-109618 et de 8,1 (élevé) pour CVE-2026-109619, selon la base NVD. Le type d’attaque précis et l’éventuelle exploitation active ne sont pas précisés dans la source consultée. Impact métier : la source ne le détaille pas. Elle indique que la vulnérabilité touche le panneau de contrôle ICVA et un composant PHP utilisé par la fonction EC des routeurs. Le risque dépend donc surtout de l'exposition de ces interfaces depuis Internet, et de l'activation ou non de la fonction EC. Peplink recommande de limiter cette exposition pour prévenir d'éventuelles attaques.
Priorité de traitement
CVE-2026-109619 : 8.1 / High
Source : base NVD (NIST)
Justification : deux failles du langage PHP, notées 9,8 (critique) et 8,1 (élevé) par la base NVD, touchent le panneau de contrôle ICVA et la fonction Edge Computing des routeurs Balance et MAX. Des correctifs existent. Si le panneau ICVA ou l’administration web du routeur est accessible depuis Internet, le risque est élevé : la mise à jour ou les mesures d’atténuation sont à traiter en priorité. La fonction Edge Computing étant désactivée par défaut, le nombre de routeurs concernés est limité. L’avis ne précise pas d’exploitation active.
Que faut-il faire ?
- ICVA : mettre à jour vers le firmware 2.14.4, disponible sur la page de téléchargement du firmware ICVA.
- ICVA, en attendant la mise à jour : s'assurer que le panneau de contrôle n'est pas accessible depuis Internet et restreindre l'accès au port 4443 aux réseaux de confiance (VLAN de gestion ou VPN).
- Balance et MAX avec fonction EC : installer le firmware spécial 8.6.1s042 (le correctif sera inclus dans la prochaine version GA), en vérifiant la compatibilité avec le modèle et la révision matérielle.
- Balance et MAX avec fonction EC : désactiver l'accès Web Admin côté WAN.
- Balance et MAX avec fonction EC : si le service ContentHub est actif, le désactiver temporairement ou bloquer les accès entrants externes en attendant le correctif.
Recommandation Chrysalead
Identifier rapidement les équipements ICVA et les routeurs Balance/MAX avec EC activé, puis vérifier qu'ils ne sont pas accessibles depuis Internet. Planifier ensuite la mise à jour vers ICVA 2.14.4 ou le firmware 8.6.1s042 selon le cas. Consulter l'avis officiel de l'éditeur pour confirmer les modèles et révisions matérielles concernés.
Détails techniques
| CVE | CVE-2026-109618, CVE-2026-109619 |
| Constructeur | Peplink |
| Score CVSS | CVE-2026-109618 : 9.8 / Critical CVE-2026-109619 : 8.1 / High (source : NVD) |
| Exploitation connue | Non précisé |
| Versions corrigées | ICVA : firmware 2.14.4 Balance et MAX avec EC : firmware spécial 8.6.1s042 (correctif inclus dans la prochaine version GA) |
| Contournement (workaround) | ICVA : limiter l’accès au port 4443 aux réseaux de confiance Balance et MAX : désactiver l’administration web côté WAN et, si le service ContentHub est actif, le désactiver ou bloquer les accès externes |
| Extrait de la source (en anglais) | Ref.: #38270 Published: 2026-10-22 Background Recently, we have had users highlight the php2shell vulnerability (CVE-2026-109618 and CVE-2026-109619), in this thread. Details of the PHP2Shell vulnerability – CVEs can be found at: CVE-2026-109618 CVE-2026-109619 The InControl Virtual Appliance (ICVA) – Control Panel on TCP port 4443 is affected by this vulnerability. Peplink hosted InControl 2 (incontrol2.peplink.com) is not affected by this vulnerability. The Balance and MAX routers with Edge Computing (EC)… |
Sources
- ICVA (InControl Virtual Appliance)
- Version installable en interne de la plateforme de gestion centralisée des équipements Peplink. Son panneau de contrôle est concerné ici.
- Edge Computing (EC)
- Fonction optionnelle de certains routeurs Peplink, désactivée par défaut. Elle utilise un composant PHP, ce qui la rend concernée.
- PHP
- Langage informatique utilisé pour faire fonctionner des services web. Ici, un composant PHP est concerné.
- Port TCP 4443
- Point d'accès réseau utilisé par le panneau de contrôle ICVA. Il doit être réservé aux réseaux de confiance.
- VLAN de gestion / VPN
- Réseau interne isolé ou connexion sécurisée permettant de n'autoriser l'administration des équipements qu'à des personnes ou des postes de confiance.
- Web Admin côté WAN
- Interface d'administration web du routeur, accessible depuis l'extérieur (côté Internet). Peplink recommande de la désactiver.
- ContentHub
- Service mentionné par Peplink dans les mesures d'atténuation, à désactiver temporairement ou à protéger des accès externes. Son fonctionnement précis n'est pas détaillé dans la source consultée.
- Firmware / GA
- Le firmware est le logiciel interne de l'équipement. « GA » désigne une version officielle diffusée à l'ensemble des clients, par opposition à un firmware spécial comme 8.6.1s042.
Analyse rédigée par Chrysalead à partir de l’avis officiel de l’éditeur, avec l’aide d’outils d’IA. Ces informations sont générales : consultez l’avis officiel et adaptez-les à votre environnement avant toute décision.