脆弱性インテリジェンス企業Previdianによると、Citrix NetScalerの深刻な脆弱性が実際の攻撃で標的にされ始めていることが分かりました。
CVE-2026-19490として追跡されているこの脆弱性は、NetScalerアプライアンスがAAA仮想サーバー、あるいはGateway(SSL VPN、ICA Proxy、CVPN、RDP Proxy)として構成されている場合に、権限を持たない攻撃者がリモートで認証をバイパスできてしまうというものです。悪用の可否はNetScalerのファームウェアバージョンや、SAML Actionが構成されているかどうかによって左右されます。
「顧客の皆様には、Citrix NetScaler ADCおよびNetScaler Gatewayの公式セキュリティ情報を確認し、自社の導入環境が影響を受けるかどうかを評価した上で、できるだけ早く推奨ビルドへアップグレードすることを強く推奨します」と、Citrixは8月中旬にこの脆弱性への対応を発表した際に警告し、管理者に対して早急なパッチ適用を呼びかけていました。
Citrixは8月19日付のセキュリティ勧告ではこの脆弱性を実際に悪用されているものとしてまだ明記していませんが、Previdianの創業者でセキュリティ研究者のRyan Dewhurst氏は木曜日、BleepingComputerに対し、「信頼性の高い」概念実証(PoC)エクスプロイトがオンラインで公開されたのを受けて、攻撃者が実際の攻撃でCVE-2026-19490を狙い始めていると述べました。
「9月3日、当社のNetScalerセンサーの1つが、オーストラリア、米国、ドイツにそれぞれ位置情報が特定される3つの異なる送信元IPアドレスから、このPoCに一致するリクエストを受信しました」とDewhurst氏はBleepingComputerに語りました。
「現時点での当社の評価では、これは悪用の試みが行われている証拠と言えますが、実際のシステムが侵害に成功したことまでは確認できていません」
ベルギーの国家サイバーセキュリティ調整センターであるCentre for Cybersecurity Belgium(NCC-BE)も金曜日、CVE-2026-19490の脆弱性を狙った悪用の試みについて警告を発しました。同センターは、各組織のネットワーク上にある脆弱なCitrix NetScalerアプライアンスすべてに対し、優先的にパッチを適用するよう管理者に呼びかけています。
インターネット脅威監視団体Shadowserverの追跡によれば、22,000台超のNetScaler ADCアプライアンスとおよそ1,700台のGatewayインスタンスがインターネット上に公開されていますが、そのうちどれだけがハニーポットなのか、脆弱な構成を抱えているのか、あるいはすでにCVE-2026-19490を狙った攻撃への対策としてパッチ済みなのかは分かっていません。
Citrixは3月にも、NetScalerの別の2つの脆弱性(CVE-2026-3055およびCVE-2026-4368)に対してパッチを適用するよう管理者に呼びかけていましたが、その直後、脅威アクターがこれらの脆弱性の悪用を開始しました。
米サイバーセキュリティ・インフラセキュリティ庁(CISA)は1週間後、CVE-2026-3055の脆弱性を実際に悪用が確認された脆弱性のカタログに追加し、連邦政府機関に対して脆弱なCitrixアプライアンスを3日以内にパッチ適用するよう命じました。
2021年11月以降、同サイバーセキュリティ機関は23件のCitrix脆弱性を実際に悪用が確認されたものとしてタグ付けしており、そのうち6件はランサムウェアグループにも悪用されています。
