Citrixは水曜日、NetScaler ADCおよびNetScaler Gatewayに存在する2件の脆弱性に対するパッチを発表しました。このうち1件は重大(critical)度の欠陥です。
この重大な脆弱性はCVE-2026-19490(CVSSスコア9.3)として追跡されており、代替パスを使用した認証バイパスと説明されています。ゲートウェイ(SSL VPN、ICA Proxy、CVPN、RDP Proxy)またはAAA仮想サーバとして構成されたNetScalerアプライアンスに影響します。
サイバーセキュリティ企業Rapid7によれば、この脆弱性はリモートの未認証攻撃者によって、ユーザーの操作を必要とせずに悪用される可能性があるとのことです。
Citrixのアドバイザリによると、この脆弱性はNetScaler ADCおよびNetScaler Gatewayのバージョン14.1-43.56以降、14.1-66.68-FIPS以降、14.1-43.55以前、13.1-61.28以降、13.1-61.27以前、および13.1 FIPSに影響します。
NetScaler ADCおよびGatewayのバージョン14.1-73.32、13.1-63.21、14.1-73.32 FIPS、13.1-FIPSおよび13.1-NDcPP 13.1-37.277には、この脆弱性に対する修正、およびLSNグループ構成でSIP ALGが有効になっている場合に予期しない動作やサービス拒否(DoS)を引き起こす可能性がある高深刻度のメモリオーバーフローの問題であるCVE-2026-19489に対する修正が含まれています。
「NetScalerインスタンスを使用するSecure Private Accessのハイブリッド展開もこれらの脆弱性の影響を受けます。お客様は、これらの脆弱性に対処するため、当該NetScalerインスタンスを推奨されるNetScalerビルドにアップグレードする必要があります」とCitrixは述べています。
Rapid7によると、この認証バイパスの問題が脅威アクターによって悪用されているという兆候は現時点でありませんが、NetScalerが企業システム内で果たす重要な役割を考えると、ハッカーにとって魅力的な標的になるとしています。
「NetScaler ADCとNetScaler Gatewayは広く導入されている企業向けネットワーキング製品で、ネットワーク境界またはその付近に配置されることが一般的です。NetScaler ADCはアプリケーション配信、トラフィック管理、負荷分散、SSL/TLSオフロード、アプリケーションセキュリティ機能を提供し、NetScaler Gatewayは安全なリモートアクセスとVPN機能を提供します」と同社は指摘しています。
NetScalerアプライアンスは通常、企業のDMZに展開されており、外部から公開されていることが多いため、Rapid7はこの重大な脆弱性が近いうちに悪用されると予想しています。
「Citrix製品は攻撃者にとって価値の高い標的であり、実際の悪用が速やかに確認される傾向があるため、組織は影響を受けるシステムのパッチ適用を緊急事態として最優先で進めるべきです」と同社は述べています。
