悪意のある攻撃者がCitrix NetScalerインフラに対する積極的な攻撃を開始しました。攻撃者らはCVE-2026-19490として指定された重大な脆弱性を悪用しています。この深刻な欠陥により、リモートの攻撃者は認証プロトコルを完全に回避することが可能になります。その結果、企業のVPNゲートウェイやAAAサーバーへの不正アクセスを許してしまいます。最初の悪用の試みは9月3日に確認されました。驚くべきことに、これは公開のProof of Concept(PoC)が公表されてからわずか24時間後の出来事でした。したがって、8月のセキュリティアップデートを未適用の管理者にとって、これはもはや理論上のリスクではなく、差し迫った現実の脅威となっています。
この脆弱性は10点満点中9.3という非常に高いCVSSスコアを記録しています。NetScaler ADCとNetScaler Gatewayの両方の導入環境に深刻な影響を及ぼします。Citrixは8月19日にこの欠陥を先んじて修正し、顧客に対して速やかにアプライアンスをアップデートするよう強く呼びかけていました。しかし、その時点では実際のネットワークにおける悪用の証拠は確認されていませんでした。
公開Proof of Conceptの登場
セキュリティ情勢は9月2日、CVE-2026-19490の実動PoCが公開されたことで一変しました。翌日には早くも、Previdianの監視フレームワークが攻撃的な試みを検知しています。これらの侵入は、公開された悪用コードの挙動的特徴と完全に一致していました。9月5日時点で、同社のセンサーネットワークはオーストラリア、ドイツ、日本、米国にまたがる6つの異なるIPアドレスから発信された、10件の個別の攻撃試行を検出しています。
現時点では、これらのインシデントは侵害が確認されたものではなく、あくまで悪用の試みにとどまります。Previdianは自社の観測結果の信頼性を「中程度」と評価しています。同社は、攻撃者が実在の企業システムへの侵入に成功したと断定しているわけではありません。さらに、Citrixもまだ CVE-2026-19490 を実際に悪用されている脆弱性として公式に指定していません。また、本記事の公開時点で、この脆弱性はCISAの既知悪用脆弱性(KEV)カタログにも掲載されていません。
認証バイパスの仕組み
CVE-2026-19490は、代替パス機構を利用した重大な認証バイパスの欠陥として現れます。リモートの攻撃者は正規の認証情報も、対象デバイスへの事前アクセスも必要としません。さらに重要な点として、この悪用にはユーザーの操作が一切不要です。この脆弱性が極めて危険なのは、NetScaler Gatewayが企業ネットワークの境界に直接配置されるケースが多いためです。この位置から、SSL VPN、ICA Proxy、クライアントVPN、RDP Proxy、そして集中管理されたAAA認証といった重要なサービスを統括しています。
比較的新しいバージョンのNetScalerでは、脆弱性が成立するにはSAMLを利用した特定の構成が必要になります。公開されたPoCはまさにこのシナリオを狙ったものです。有効な暗号署名を一切持たない偽のSAMLレスポンスを偽造しようと試みます。メーカー側はCVE-2026-19490の内部的な発生原因について包括的な開示を行っていません。したがって、PoC内で提供されている技術的説明は、現時点ではCitrixによって公式に裏付けられた記述ではなく、あくまで悪用コード作成者による推測とみなす必要があります。
攻撃対象範囲と緩和策の評価
インターネットに公開されているすべてのNetScalerアプライアンスが、自動的にこの悪用の影響を受けるわけではありません。脆弱性の成立は、具体的なファームウェアのバージョンと有効な構成パラメータに本質的に依存します。最新の14.1系および13.1系のリリースでは、悪用が成立するには通常、GatewayまたはAAA仮想サーバーと連携して動作するSAMLアクションが構成されている必要があります。一方で、多くの旧型ビルドでは、GatewayまたはAAAサービスが有効になっているだけで脆弱な状態となります。9月4日、カナダサイバーセキュリティセンターが専用の注意喚起を発表しました。同センターは各組織に対し、自組織の構成、認証ログ、より広範なネットワーク活動を入念に監査するよう強く推奨しています。
潜在的な攻撃対象範囲の規模は膨大です。Shadowserverのテレメトリによると、インターネット経由でアクセス可能なNetScaler ADCアプライアンスは22,000台以上、NetScaler Gatewayインスタンスは1,700台近くに上ります。オープンソースの統計のみに基づく場合、脆弱な構成を採用しているシステムが正確にどれだけ存在するかを把握することは不可能です。同様に、アップデート済みのデバイスと研究用ハニーポットの比率も判別できません。
包括的な修正は、NetScaler ADCおよびGatewayのバージョン14.1-73.32と13.1-63.21で提供されています。NetScaler ADC 14.1-FIPSエディションについては、ビルド14.1-73.32 FIPSが必須です。一方、13.1-FIPSおよび13.1-NDcPPブランチについてはアップデート13.1-37.277が必要になります。Citrixは代替の回避策を提供していません。したがって、公式アップデートの適用がCVE-2026-19490を根絶する唯一の方法です。同社はすでに、Citrixが直接管理するクラウドサービスについては修正を適用済みです。
NetScalerにとって、この危険な状況は残念ながら見覚えのあるものです。同社のアプライアンスは、ネットワークの境界に位置するがゆえに、常に高度な攻撃の標的となり続けています。これらは、価値ある社内リソースへの主要な入り口としての役割を担っているのです。2026年春には、悪意のある攻撃者が別の重大なNetScaler脆弱性であるCVE-2026-3055に対して大規模な悪用キャンペーンを実行しました。その攻撃の際には、FortiGuardのセンサーが特定の日に2,700件を超える攻撃試行を記録しています。CVE-2026-19490の公開PoCの登場は、繰り返される厳しい現実を如実に物語っています。脆弱性の開示から実際の攻撃発生までの重要な猶予期間は、今回もまたわずか数日にまで圧縮されてしまったのです。
翻訳元: https://meterpreter.org/citrix-netscaler-flaw-cve-2026-19490/
