最近の脆弱性 › CVE-2026-19490
Citrix NetScaler の認証回避の脆弱性（CVE-2026-19490）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2026-19490 |
|---|---|
| 製品 | Citrix NetScaler |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2026-09-09 |
| 米国政府機関の対応期限 | 2026-09-12 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-288 |
何が起きた
Citrix NetScaler ADC と NetScaler Gateway に、認証をすり抜けられる弱点が見つかり、実際に悪用が確認されています。NetScaler を AAA 仮想サーバー、または Gateway（SSL VPN、ICA Proxy、CVPN、RDP Proxy）として設定している場合に、ログインしていない攻撃者に、認証をすり抜けられるおそれがあります。ネットワーク経由で悪用できる条件です。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
自社で運用している NetScaler ADC と NetScaler Gateway のうち、14.1-73.32 より前と 13.1-63.21 より前の版が対象です（FIPS 版・NDcPP 版にも対象があります）。Gateway や AAA 仮想サーバーとして設定している場合に影響を受けます。比較的新しい版（14.1-43.56 以降など）では、SAML の設定もある場合だけ影響を受けます。
何をすればいい
14.1-73.32 以上、13.1-63.21 以上（FIPS 版は 14.1-73.32 FIPS 以上、FIPS 版・NDcPP 版は 13.1-37.277 以上）へ更新してください。
やることチェックリスト
- GatewayやAAAとSAMLの設定があるか確かめる
- 14.1-73.32か13.1-63.21以上に更新する
- FIPS版はFIPS版の修正版に更新する
用語メモ
- NetScaler ADC
- ウェブサービスなどの通信を振り分けたり守ったりする、Citrix の機器やソフトのことです。
- AAA 仮想サーバー
- NetScaler で、利用者の認証などを受け持つように設定した仮想的なサーバーのことです。
元データ（英語・CISA KEV より）
Citrix NetScaler Authentication Bypass Using an Alternate Path or Channel Vulnerability
概要
Citrix NetScaler ADC and NetScaler Gateway contain an authentication-bypass vulnerability involving an alternate path or channel. When the NetScaler appliance is configured as an AAA virtual server or as a Gateway (SSL VPN, ICA Proxy, CVPN, or RDP Proxy), an unauthenticated remote threat actor may be able to bypass authentication.
推奨対応
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.