Citrix NetScalerの脆弱性 CVE-2026-19490がサイバー攻撃への悪用試行　PoC公開後に観測、認証回避でCVSS 9.3

NetScaler ADCおよびNetScaler Gatewayに影響する認証回避の脆弱性「CVE-2026-19490」について、公開PoCと一致する悪用試行がインターネット上で観測されています。

脆弱性インテリジェンス企業Previdianは2026年9月3日から、自社センサーでCVE-2026-19490を狙ったリクエストを確認しました。9月6日更新時点では10件の試行、6件の送信元IPを観測しており、IPアドレスの位置情報上はオーストラリア、ドイツ、日本、米国の4カ国に分布しています。

ただし、これは脆弱性を狙った「悪用試行」が確認されたという意味であり、実際のNetScaler環境への侵害成功が確認されたわけではありません。Previdian自身も成功した侵害を裏付けるものではないとしています。

Citrixは8月19日にCVE-2026-19490を修正し、影響を受ける顧客へ早急なアップデートを求めています。CVSS v4.0は9.3（Critical）で、条件を満たすNetScaler GatewayやAAA仮想サーバーでは、未認証のリモート攻撃者が認証を回避できる可能性があります。

9月7日時点でCitrix公式アドバイザリは実悪用を明記しておらず、CISA Known Exploited Vulnerabilities（KEV）Catalogへの掲載も確認できませんでした。

CVE-2026-19490のサマリー

• 【確認済み】CVE-2026-19490はNetScaler ADCおよびNetScaler Gatewayの認証回避脆弱性です。
• 【確認済み】CWEはCWE-288「Authentication Bypass Using an Alternate Path」です。
• 【確認済み】CVSS v4.0は9.3（Critical）です。
• 【確認済み】ネットワーク経由、認証不要、ユーザー操作不要で悪用可能な条件があります。
• 【確認済み】影響にはGatewayまたはAAA仮想サーバーとして構成されたNetScalerが含まれ、バージョンによってSAML actionの設定有無が条件になります。
• 【確認済み】Citrixは2026年8月19日に修正版を公開しました。
• 【確認済み】修正版は14.1-73.32、13.1-63.21、14.1-73.32 FIPS、13.1-37.277 FIPS／NDcPP以降です。
• 【確認済み】Citrixは有効な回避策を案内しておらず、修正版への更新を求めています。
• 【研究者確認】Previdianは9月3日から公開PoCと一致する悪用試行をセンサーで観測しています。
• 【研究者確認】9月6日更新時点で10件の試行、6件の送信元IP、4カ国のIPアドレスを観測しています。
• 【重要】Previdianは、これらの観測が実環境への侵害成功を確認したものではないとしています。
• 【確認済み】公開PoCは9月2日に確認されています。
• 【未確認】Citrix公式アドバイザリは9月7日時点で実悪用を明記していません。
• 【未確認】9月7日時点でCISA KEV Catalogへの掲載は確認できませんでした。
• 【未確認】攻撃者グループ、マルウェア、侵害組織などは特定されていません。

項目	内容
CVE	CVE-2026-19490
製品	NetScaler ADC、NetScaler Gateway
脆弱性	代替経路を利用した認証回避
CWE	CWE-288
CVSS v4.0	9.3（Critical）
攻撃元	ネットワーク
認証	不要
ユーザー操作	不要
公開日	2026年8月19日
PoC	公開を確認
悪用状況	Previdianが悪用試行を観測
侵害成功	確認されていません
CISA KEV	9月7日時点で未掲載
回避策	Citrixは「None」と案内
主な対応	修正版への更新、ログ・ネットワーク活動の確認

Citrixが8月19日にCriticalの認証回避を修正

Citrixは8月19日、NetScaler ADCとNetScaler Gatewayに影響するCVE-2026-19490とCVE-2026-19489についてセキュリティアドバイザリ「CTX696939」を公開しました。

CVE-2026-19490は、通常とは異なる経路を利用して認証を回避できるCWE-288の脆弱性です。

CitrixによるCVSS v4.0スコアは9.3で、攻撃ベクトルはネットワーク、攻撃条件は低く、事前の権限やユーザー操作は不要と評価されています。

ただし、すべてのNetScalerが無条件で影響を受けるわけではありません。

対象となるのは、NetScalerをGatewayとしてSSL VPN、ICA Proxy、CVPN、RDP Proxyなどに利用している構成、またはAAA仮想サーバーとして利用している構成です。

さらに、利用しているバージョンによってはSAML actionが設定されていることが脆弱性成立の追加条件になります。

影響条件はNetScalerのバージョンによって異なる

Citrix公式アドバイザリでは、CVE-2026-19490の前提条件をバージョン別に示しています。

NetScaler 14.1では、14.1-43.56以降のビルドについて、GatewayまたはAAA仮想サーバーとして構成され、さらにSAML actionが設定されている場合が対象です。

14.1-43.55以前では、GatewayまたはAAA仮想サーバーとして構成されていること自体が前提条件になります。

13.1では、13.1-61.28以降はSAML actionの設定が追加条件となり、13.1-61.27以前はGatewayまたはAAA仮想サーバー構成が対象です。

13.1 FIPSでは、GatewayまたはAAA仮想サーバーとして構成されている場合に影響を受けます。

このため、バージョン番号だけを見て影響有無を判断するのではなく、Gateway、AAA、SAMLの実際の設定を確認する必要があります。

修正版は14.1-73.32、13.1-63.21以降

Citrixが案内している修正版は以下です。

製品系列	修正版
NetScaler ADC / Gateway 14.1	14.1-73.32以降
NetScaler ADC / Gateway 13.1	13.1-63.21以降
NetScaler ADC 14.1 FIPS	14.1-73.32 FIPS以降
NetScaler ADC 13.1 FIPS / NDcPP	13.1-37.277以降

Secure Private Access HybridでNetScalerインスタンスを利用している環境も影響を受けるため、対象インスタンスを修正版へ更新する必要があります。

一方、Citrixが管理するクラウドサービスとCitrix-managed Adaptive Authenticationについては、Cloud Software Group側で必要なアップデートを実施するとしています。

Citrixは今回の脆弱性について有効な回避策を「None」としており、影響する環境ではアップデートが基本対応になります。

公開PoC翌日から悪用試行を観測

脆弱性の公開から約2週間後、状況が変化しました。

Previdianは、CVE-2026-19490について公開PoCが9月2日に確認され、その翌日の9月3日から自社センサーでPoCと一致するリクエストを観測したと公表しています。

9月6日時点で公開されている同社のテレメトリでは、10件の悪用試行、6件のユニークな送信元IP、4カ国のIPアドレスを確認しています。

表示上の国はオーストラリア、ドイツ、日本、米国です。

ただし、IPアドレスの位置情報は攻撃者本人の所在地や国籍を示すものではありません。踏み台、VPN、クラウドサーバーなどが利用されている可能性もあるため、国家や攻撃主体への帰属材料にはできません。

また、観測はPrevidianの1つのセンサーによるもので、インターネット全体で10件しか攻撃が行われていないという意味でもありません。

「悪用試行」と「侵害成功」は別

今回もっとも注意が必要なのは、「実際の攻撃で悪用された」という表現の範囲です。

PrevidianはCVE-2026-19490を「Active exploitation observed」としていますが、その根拠はセンサーへ到達したリクエストが公開PoCのパターンと一致したことです。

同社はBleepingComputerへの説明でも、これを悪用試行の証拠と評価する一方、「現実のシステムへの侵害成功を確認したものではない」としています。

したがって現時点では、

• 脆弱性を狙った悪用試行が観測された
• 攻撃リクエストが実環境へ送信され始めている

ことは確認できますが、

• 実際の企業のNetScalerが侵害された
• 認証回避に成功した
• セッションや認証情報が窃取された
• 内部ネットワークへ侵入された

といった被害までは確認されていません。

攻撃者グループやマルウェアについても特定されていません。

カナダ政府も緊急度を引き上げ、パッチを優先するよう勧告

Canadian Centre for Cyber Securityは9月4日、CVE-2026-19490とCVE-2026-19489を対象とするAlert「AL26-019」を公開しました。

同センターは、NetScaler ADC／Gateway利用組織に対し、対象機器のバージョン確認、GatewayやAAA仮想サーバーの特定、SAML構成の確認を求めています。

特に影響するシステムについては「emergency basis」でパッチ適用を優先するよう勧告しました。

アップデート後も、認証ログやネットワーク活動を確認し、不正アクセスを示す異常がないか確認することを推奨しています。

侵害が疑われる場合には、Citrixが公開しているインシデント対応手順に従うよう案内しています。

Citrix公式は実悪用を明記せず、CISA KEVにも未掲載

9月7日時点のCitrix公式アドバイザリには、CVE-2026-19490が実際の攻撃で悪用されているとの記載はありません。

また、CISA Known Exploited Vulnerabilities Catalogへの掲載も確認できませんでした。

このため、「Citrixが実悪用を確認した」「CISAが既知悪用済み脆弱性として指定した」とするのは現時点では正確ではありません。

一方で、PrevidianによるPoC一致の悪用試行が確認されているため、KEVへの登録を待って対応する状況でもありません。

CISA KEVは優先順位付けに有効な情報源ですが、攻撃開始とKEV掲載には時間差が生じることがあります。

同じNetScalerでは2026年にも公開直後の悪用が相次ぐ

NetScalerはインターネット境界でVPNや認証を担うことが多く、脆弱性公開後に短期間で攻撃対象になるケースが続いています。

セキュリティ対策Labでは2026年7月、NetScaler ADC／Gatewayの「Citrix Bleed」系脆弱性CVE-2026-8451について、公開から24時間以内に悪用が観測された事例を取り上げています。

関連記事：新たなCitrix Bleed系脆弱性、公開から24時間以内に悪用開始-CVE-2026-8451

また、2025年のCVE-2025-5777でも、実悪用確認後にCISA KEVへ追加されました。

関連記事：Citrix製品の重大な脆弱性「Citrix Bleed 2（CVE-2025-5777）」、CISAが即時対応を通達

今回のCVE-2026-19490についても、公開PoCの出現後に悪用試行が始まっており、外部公開されたNetScalerのパッチ適用速度が重要になります。

情報システム・ネットワーク管理者への示唆

CVE-2026-19490への対応では、まずNetScaler ADC／Gatewayのバージョンだけでなく、実際の構成を確認する必要があります。

特にGatewayとしてSSL VPN、ICA Proxy、CVPN、RDP Proxyを提供している機器や、AAA仮想サーバーを運用している環境では優先度を上げてください。

新しいビルドではSAML actionの有無も影響条件になるため、認証構成まで含めた棚卸しが必要です。

影響する場合は、14.1-73.32、13.1-63.21などCitrixが指定する修正版へ更新します。有効な回避策は案内されていないため、設定変更だけで恒久対応したと判断するのは避けるべきです。

また、PoC公開後に悪用試行が始まっていることから、パッチ適用だけで対応を終えず、公開日以降の認証ログ、管理操作、ネットワーク通信などを確認し、不審な活動がなかったか遡って調査することが重要です。

特にVPNや認証ゲートウェイは、侵害された場合に社内ネットワークへの入口となります。

インターネット境界機器については、KEV登録やベンダーによる実悪用確認を待つのではなく、「PoC公開」「ハニーポットやセンサーでの悪用試行」「未認証で悪用可能」といった複数の情報を組み合わせて、パッチ適用の優先順位を判断する必要があります。

出典

• NetScaler ADC and NetScaler Gateway Security Bulletin for CVE-2026-19489 and CVE-2026-19490 – Citrix / Cloud Software Group
• CVE-2026-19490 Exploitation Observed – Previdian
• Alert AL26-019 – Vulnerabilities impacting Citrix NetScaler ADC and NetScaler Gateway – Canadian Centre for Cyber Security
• Critical Vulnerabilities in Citrix NetScaler ADC and NetScaler Gateway – CERT-EU
• Known Exploited Vulnerabilities Catalog – CISA
• Critical Citrix NetScaler auth bypass now leveraged in attacks – BleepingComputer
• 新たなCitrix Bleed系脆弱性、公開から24時間以内に悪用開始-CVE-2026-8451 – セキュリティ対策Lab
• Citrix製品の重大な脆弱性「Citrix Bleed 2（CVE-2025-5777）」、CISAが即時対応を通達 – セキュリティ対策Lab