Citrixは、NetScaler ADCおよびNetScaler Gatewayにおける2件の脆弱性を修正しました。この中には、重大な認証バイパスの欠陥であるCVE-2026-19490として追跡されているものも含まれており、同社は影響を受けるアプライアンスについて、できるだけ早くアップグレードするよう顧客に呼びかけています。
Citrixの親会社であるCloud Software Groupでエンジニアリング担当シニアバイスプレジデントを務めるAnil Shetty氏は、水曜日に「公式のNetScaler ADCおよびNetScaler Gatewayのセキュリティ情報を確認し、自社の導入環境が影響を受けるかどうかを評価した上で、できるだけ早く影響を受けるアプライアンスを推奨ビルドへアップグレードすることを強く推奨します」と警告しました。
Shetty氏はさらに、「今回のセキュリティ情報は、特定のFIPSおよびNDcPPビルドを含め、顧客側で管理するサポート対象バージョンのNetScaler ADCおよびNetScaler Gatewayに適用されます。顧客側で管理するNetScalerインスタンスを使用しているSecurAccess ZTNA Hybrid（旧称：Secure Private Access Hybrid）の導入環境も影響を受けるため、推奨ビルドへのアップグレードが必要です」と付け加えています。
Rapid7は同社のブログで、2026年8月19日時点でCVE-2026-19490の悪用は確認されていないと述べていますが、Citrix製品は脆弱性が公表されると速やかに悪用の標的となる傾向があるため、「緊急対応として影響を受けるシステムのパッチ適用を最優先すべき」だと呼びかけています。
脆弱性の詳細（CVE-2026-19489、CVE-2026-19490）
2件のうちより深刻なのはCVE-2026-19490で、CVSS v4.0スコアは9.3です。この脆弱性により、攻撃者は特定の条件下で、代替パスを利用してログインチェックを回避できます。悪用が成立するには、対象のアプライアンスがGateway（SSL VPN、ICA Proxy、CVPN、RDP Proxyのいずれかを含む）またはAAA仮想サーバーとして構成されている必要があります。
実際に脆弱性が露呈するかどうかは、ファームウェアのバージョンおよびSAMLアクションが構成されているかどうかにも左右されます。古いファームウェアでは、SAMLの構成有無にかかわらず、GatewayまたはAAAの構成があるだけで前提条件を満たしてしまいます。具体的なバージョンのしきい値は、標準ビルドとFIPSビルドで異なります。
セキュリティチームは、自社のNetScaler構成において「add authentication samlAction」を検索することでSAMLアクションの設定有無を、また「add authentication vserver」および「add vpn vserver」を検索することでAuthまたはVPN仮想サーバーの有無を確認し、前提条件に該当するかどうかをチェックできます。
Shetty氏は、「さらに、NetScaler Console（サービス版またはオンプレミス版）を利用しており、かつNetScalerのファームウェアバージョンが14.1-60.52より新しい、または13.1-63.16以上である場合は、シグネチャを利用することでこの脆弱性を緩和できます。これはGlobal Deny Listsと呼ばれる機能によるもので、シグネチャを取り込み、NetScaler Console経由で管理されているNetScalerアプライアンスに自動的にシグネチャを適用します」と述べています。
2つ目の脆弱性であるCVE-2026-19489は、メモリオーバーフローの問題で、CVSS v4.0スコアは8.8です。予測不能な動作やサービス拒否（DoS）を引き起こす可能性があります。この脆弱性は、Large Scale NATグループの構成でSIP ALGが有効になっている場合に限られる、より限定的な前提条件を伴うものです。
セキュリティチームは、構成内で「add lsn group」と「sipalg」を組み合わせて検索することで、2つ目の脆弱性への該当有無を確認できます。
これらの脆弱性は、以下のバージョンに影響します。
- NetScaler ADCおよびNetScaler Gateway 14.1（14.1-73.32より前のバージョン）
- NetScaler ADCおよびNetScaler Gateway 13.1（13.1-63.21より前のバージョン）
- NetScaler ADC FIPS（14.1-73.32 FIPSより前のバージョン）
- NetScaler ADC FIPSおよびNDcPP（13.1-37.277より前のバージョン）
Shetty氏はこう説明しています。「ICAプロキシ構成のNetScalerをバージョン14.1-72.16（または13.1-63.18）以降にアップグレードすると、アップグレード前の古いバージョンが発行したセッションチケットを使って再接続を試みるICAセッションはすべて切断されます。その結果、ユーザーはセッションを再度立ち上げ直す必要があります。これはアップグレードに伴う副作用ではなく、セキュリティ対策として意図されたものです」。
Citrixがこのアドバイザリを公表した時点では、AWS、Azure、GCPの各マーケットプレイスに掲載されているNetScalerイメージは、パッチ適用済みビルドへの更新がまだ行われていませんでした。
翻訳元: https://www.helpnetsecurity.com/2026/08/21/citrix-netscaler-gateway-cve-2026-19490/
