Citrixは、NetScaler GatewayセキュアリモートアクセスソリューションおよびネットワーキングアプライアンスNetScaler ADCに影響する2件の脆弱性について、システムを直ちに保護するよう顧客に警告しました。
2件のうち最も深刻なCVE-2026-19490は、アプライアンスがAAA仮想サーバーまたはGateway（SSL VPN、ICA Proxy、CVPN、RDP Proxy）として構成されている場合に、権限を持たないリモート攻撃者が認証を回避できてしまう脆弱性です。悪用可能かどうかはNetScalerのファームウェアバージョンや、SAML Actionが構成されているかどうかによって異なります。
管理者は、NetScalerの構成内にSAML action設定（add authentication samlAction .*）の文字列と、AuthまたはVPN vserver（「add authentication vserver .*」および「add vpn vserver .*」）の文字列があるかを確認することで、自社のアプライアンスがCVE-2026-19490を狙った攻撃に対して脆弱かどうかを判断できます。
2件目の脆弱性は深刻度が「高」に分類されるメモリオーバーフローの脆弱性で、CVE-2026-19489として追跡されています。大規模NATグループ構成でSIP ALG（Session Initiation Protocol Application Layer Gateway）が有効になっている場合、リモートの未認証の攻撃者によってサービス拒否（DoS）攻撃に悪用される可能性があります。
セキュリティチームは、構成内に「add lsn group.*sipalg.*」という文字列があるかを確認することで、自社ネットワーク内のCitrix NetScalerアプライアンスがCVE-2026-19489の悪用条件を満たしているかどうかを判断できます。
Citrixは、脆弱性の影響を受けるNetScaler ADCおよびNetScaler Gatewayアプライアンスについて、以下のバージョンへのアップグレードを顧客に推奨しています。
- NetScaler ADCおよびNetScaler Gateway 14.1-73.32以降
- NetScaler ADCおよびNetScaler Gateway 13.1-63.21以降
- NetScaler ADC FIPS 14.1-73.32 FIPS以降
- または該当する場合はNetScaler ADC FIPSおよびNDcPP 13.1-37.277以降
「顧客の皆様には、公式のNetScaler ADCおよびNetScaler Gatewayセキュリティ情報をご確認いただき、自社の導入環境が影響を受けるかどうかを評価した上で、影響を受けるアプライアンスをできるだけ早く推奨ビルドへアップグレードしていただくことを強く推奨します」と、Citrixは水曜日に警告しました。
「このセキュリティ情報は、特定のFIPSおよびNDcPPビルドを含む、顧客管理のNetScaler ADCおよびNetScaler Gatewayのサポート対象バージョンに適用されます。顧客管理のNetScalerインスタンスを使用するSecurAccess ZTNA Hybrid（旧称Secure Private Access Hybrid）の導入環境も影響を受けるため、推奨ビルドへアップグレードする必要があります」
これら2件の脆弱性は現時点で攻撃への悪用は確認されていませんが、Citrixは3月23日にも別の2件のNetScaler脆弱性（CVE-2026-3055およびCVE-2026-4368）について管理者にパッチ適用を呼びかけていました。その直後、攻撃者は実際にこれらの脆弱性の悪用を開始しました。
CISAは3月30日、CVE-2026-3055の脆弱性を既知の悪用された脆弱性（KEV）カタログに追加し、連邦政府機関に対して3日以内に脆弱なCitrixアプライアンスを保護するよう命じました。
過去5年間で、米サイバーセキュリティ機関は22件のCitrix脆弱性が実際の攻撃で悪用されたことを確認しており、そのうち6件はランサムウェア攻撃にも悪用されています。
ShadowServer Foundationは現在、22,000台超のNetScaler ADCと約1,800台のNetScaler Gatewayインスタンスがインターネット上に公開されていることを追跡しています。ただし、そのうちハニーポットがどれだけ含まれているか、またCVE-2026-19489やCVE-2026-19490を狙った攻撃に対してどれだけが脆弱であるかについての情報は提供されていません。
攻撃者が有効な認証情報を取得すると、その行動のうちブロックされるのはわずか37%
全体的な防御スコアだけでは、初期侵入後に何が起きているかが見えなくなりがちです。攻撃者が有効な認証情報を使い始めると、防御の成功率は急激に低下します。
The Blue Report 2026は、顧客の本番環境で実行された3億3,800万件のシミュレーションに基づき、防御手法ごとの効果を測定しています。
