Citrix、NetScalerの2脆弱性を修正　CVE-2026-19490はCVSS 9.3、認証回避のおそれ

Citrix（Cloud Software Group）は2026年8月19日、NetScaler ADCおよびNetScaler Gatewayに影響する2件の脆弱性、CVE-2026-19489とCVE-2026-19490を修正したセキュリティアドバイザリを公開しました。

このうちCVE-2026-19490は、特定構成のNetScaler GatewayやAAA仮想サーバーで認証を回避できる脆弱性で、CVSS v4.0の基本値は9.3（Critical）です。CVE-2026-19489は、Large Scale NAT（LSN）グループでSIP ALGを有効化している場合に影響するメモリオーバーフローの脆弱性で、CVSS v4.0は8.8（High）と評価されています。

Citrixは影響を受ける顧客に対し、修正版へできるだけ早く更新するよう強く推奨しています。暫定的な回避策は公表されていません。

2026年8月21日時点で、両脆弱性が実際の攻撃で悪用されたことを示す公式情報は確認されていません。NVDに記録されたCISAのSSVC評価でも、CVE-2026-19489、CVE-2026-19490ともに「exploitation: none」とされています。

NetScalerの2脆弱性のサマリー

• 【確認済み】Citrixは2026年8月19日、NetScaler ADCおよびNetScaler Gatewayに影響するCVE-2026-19489、CVE-2026-19490を公開しました。
• 【確認済み】CVE-2026-19490は認証回避の脆弱性で、CVSS v4.0の基本値は9.3（Critical）です。
• 【確認済み】CVE-2026-19489はメモリオーバーフローにより予期しない動作やDoSにつながる脆弱性で、CVSS v4.0の基本値は8.8（High）です。
• 【確認済み】CVE-2026-19490は、NetScalerをGatewayまたはAAA仮想サーバーとして利用している構成などが影響対象となり、バージョンによってはSAML Actionの設定も前提条件になります。
• 【確認済み】CVE-2026-19489は、Large Scale NATグループでSIP ALGを有効化していることが悪用の前提条件です。
• 【確認済み】修正版は14.1系で14.1-73.32以降、13.1系で13.1-63.21以降です。FIPS、NDcPP向けにも修正版が公開されています。
• 【確認済み】Secure Private Access Hybridで顧客管理のNetScalerインスタンスを利用している環境も影響を受けます。
• 【確認済み】Citrix管理のクラウドサービスとCitrix管理のAdaptive Authenticationについては、Cloud Software Group側で必要な更新が実施されます。
• 【確認済み】Citrixは回避策・緩和要因を「None」としており、修正版へのアップグレードを推奨しています。
• 【確認済み】NVDに記録されたCISAのSSVC評価では、8月20日時点で両脆弱性とも悪用状況は「none」です。
• 【確認できず】2026年8月21日時点で、実際の攻撃での悪用、公開PoC、攻撃に利用されたIOCは確認できませんでした。
• 【確認できず】CISAのKnown Exploited Vulnerabilities（KEV）カタログへの掲載は確認できませんでした。

項目	CVE-2026-19490	CVE-2026-19489
深刻度	Critical	High
CVSS v4.0	9.3	8.8
脆弱性	別経路を利用した認証回避	メモリオーバーフロー
CWE	CWE-288	Citrix公表はCWE-119
主な影響	認証を経ずにアクセスされる可能性	予期しない動作、DoS
攻撃経路	ネットワーク	ネットワーク
認証	不要	不要
ユーザー操作	不要	不要
主な前提条件	Gateway／AAA vserver。バージョンによってSAML Action設定が必要	LSNグループでSIP ALGが有効
悪用確認	確認されていません	確認されていません
公開PoC	確認できませんでした	確認できませんでした
CISA KEV	掲載を確認できず	掲載を確認できず
回避策	なし	なし
対策	修正版へのアップグレード	修正版へのアップグレード

CVE-2026-19490とは　認証を回避できるCritical脆弱性

CVE-2026-19490は、通常とは異なる経路を利用することで認証を回避できる脆弱性です。

CitrixはCWE-288「Authentication Bypass Using an Alternate Path」として分類し、CVSS v4.0の基本値を9.3と評価しています。CVSSベクトルではネットワーク経由で到達可能で、攻撃に事前の認証権限やユーザー操作を必要としない条件になっています。

影響を受けるかどうかは、NetScalerのバージョンと構成によって異なります。

14.1系の比較的新しいビルドでは、SAML Actionを設定したうえで、NetScalerをGatewayまたはAAA仮想サーバーとして構成していることが前提条件です。一方、古い14.1ビルドや13.1系の一部では、GatewayまたはAAA仮想サーバーとして構成されているだけで影響条件を満たす場合があります。

GatewayにはSSL VPN、ICA Proxy、CVPN、RDP Proxyの構成が含まれます。

NetScaler Gatewayは企業ネットワークへのリモートアクセス境界で使われることが多いため、認証回避の脆弱性は優先度を高く評価する必要があります。インターネットへ公開している場合は、実際の悪用確認を待たずに更新対象の特定を進めることが重要です。

CVE-2026-19489とは　SIP ALG有効時にDoSのおそれ

CVE-2026-19489は、メモリ領域の境界処理に関する問題です。

Citrixは、脆弱性が悪用された場合、予期しない動作やサービス拒否（DoS）につながる可能性があると説明しています。CVSS v4.0の基本値は8.8です。

ただし、すべてのNetScaler環境が同じ条件で影響を受けるわけではありません。

悪用の前提条件として、Large Scale NAT（LSN）グループでSIP ALG（Session Initiation Protocol Application Layer Gateway）が有効になっている必要があります。

このため、自組織で対象バージョンを利用しているだけでなく、SIP ALGを有効にしたLSN構成を使用しているかを確認する必要があります。

影響を受けるバージョンと修正版

製品・系列	影響を受けるバージョン	修正版
NetScaler ADC / NetScaler Gateway 14.1	14.1-73.32未満	14.1-73.32以降
NetScaler ADC / NetScaler Gateway 13.1	13.1-63.21未満	13.1-63.21以降
NetScaler ADC 14.1 FIPS	14.1-73.32 FIPS未満	14.1-73.32 FIPS以降
NetScaler ADC 13.1 FIPS / NDcPP	13.1-37.277未満	13.1-37.277以降

Secure Private Access Hybridで顧客管理のNetScalerインスタンスを使用している場合も対象です。該当するインスタンスを修正版へ更新する必要があります。

一方、今回のアドバイザリは顧客が管理するNetScaler ADCおよびNetScaler Gatewayを対象としています。Citrix管理のクラウドサービスとCitrix管理のAdaptive Authenticationについては、Cloud Software Groupが必要なソフトウェア更新を実施するとしています。

自社環境が前提条件を満たすか確認が必要

今回の2件は、対象バージョンを利用しているだけで直ちに同じ攻撃条件が成立するわけではありません。

CVE-2026-19490については、Gateway、AAA仮想サーバー、SAML Actionの設定状況を確認する必要があります。CVE-2026-19489については、LSNグループでSIP ALGが設定されているかが確認ポイントです。

ただし、影響条件を満たしていないように見える場合でも、設定確認だけを理由に更新を長期間延期することは推奨できません。Citrix自身が影響を受ける顧客へ修正版の早期適用を強く求めており、回避策も公表していないためです。

実際の攻撃での悪用は確認されていない

2026年8月21日時点で、CitrixのアドバイザリにはCVE-2026-19489、CVE-2026-19490が実際の攻撃で悪用されているとの記載はありません。

NVDでは、CISAによるSSVC評価が追加されており、両CVEとも「exploitation: none」と評価されています。

CVE-2026-19490については、攻撃の自動化可能性が「yes」、技術的影響は「total」とされています。CVE-2026-19489についても自動化可能性は「yes」で、技術的影響は「partial」とされています。

現時点でCISA KEVへの掲載も確認できません。また、公開PoCや今回の2件を悪用した攻撃に固有のIOCも確認できませんでした。

したがって、現段階で「ゼロデイとして悪用されている」「攻撃が進行している」と表現する根拠はありません。

NetScalerでは過去に公開後短期間で悪用された脆弱性も

今回、実際の悪用は確認されていませんが、NetScalerを巡っては脆弱性公表後の短期間で悪用が始まった事例があります。

2026年3月には、NetScaler ADC / GatewayのCVE-2026-3055について修正後に実攻撃での悪用が確認され、CISAがKEVへ追加しました。

また、セキュリティ対策Labでは2026年7月、NetScalerのメモリ漏えい脆弱性CVE-2026-8451について、アドバイザリ公開後24時間以内に攻撃が観測された事例を取り上げています。

新たなCitrix Bleed系脆弱性、公開から24時間以内に悪用開始―CVE-2026-8451

今回のCVE-2026-19490は認証回避、CVE-2026-19489はメモリオーバーフローであり、過去のCitrixBleed系脆弱性と同一の問題ではありません。

回避策はなし　Citrixは早期アップグレードを推奨

Citrixは今回のアドバイザリで、「Workarounds / Mitigating Factors」を「None」としています。

そのため、基本的な対策は修正版へのアップグレードです。

Citrixは影響を受けるNetScaler ADCおよびNetScaler Gatewayについて、関連する更新版をできるだけ早く適用するよう強く推奨しています。

CVSS 9.3の認証回避が含まれ、公式の回避策もないことから、通常の月次パッチサイクルだけで処理するのではなく、緊急変更の対象として評価することが適切です。

情報システム部門への示唆

情報システム部門やネットワーク管理者は、まず資産台帳と実機のバージョンを照合し、NetScaler ADC、NetScaler Gateway、Secure Private Access Hybridで利用する顧客管理NetScalerの有無を確認する必要があります。

優先順位が高いのは、インターネットから到達可能なNetScaler GatewayやAAA仮想サーバーです。

特にCVE-2026-19490は認証回避であり、CVSSベクトル上は攻撃者に事前権限やユーザー操作を要求しません。SAMLを利用した認証基盤やSSL VPNを外部公開している組織では、対象条件の確認と修正版適用を優先すべきです。

パッチ適用前後には、NetScalerの設定変更履歴、認証ログ、管理者ログイン、通常と異なる送信元からのアクセス、予期しないアカウントや設定変更などを確認しておくことも重要です。

現時点で公式IOCは公開されていないため、「IOCに一致しなければ安全」と判断することはできません。脆弱性が今後悪用された場合に備え、十分なログを保持し、異常な認証や設定変更を後から追跡できる状態にしておく必要があります。

また、NetScalerのような境界機器は、脆弱性管理上の優先順位を一般的な内部サーバーより高く設定することが重要です。CVSSだけでなく、インターネット公開の有無、認証前に悪用可能か、回避策の有無、過去に同製品群が繰り返し攻撃対象となっているかを組み合わせて判断する必要があります。

出典

• NetScaler ADC and NetScaler Gateway Security Bulletin for CVE-2026-19489 and CVE-2026-19490 – Citrix / Cloud Software Group
• CVE-2026-19490 – NIST National Vulnerability Database
• CVE-2026-19489 – NIST National Vulnerability Database
• Citrix urges admins to patch new NetScaler flaws as soon as possible – BleepingComputer
• 新たなCitrix Bleed系脆弱性、公開から24時間以内に悪用開始―CVE-2026-8451 – セキュリティ対策Lab