概要
Citrixは8月19日、NetScaler ADCおよびNetScaler Gatewayに存在する重大な認証バイパス脆弱性CVE-2026-19490を修正するパッチをリリースした。CVSSスコアは9.3(Critical)で、未認証のリモート攻撃者がユーザーの操作や認証情報を一切必要とせずに認証機構を回避できる可能性がある。脆弱性の分類はCWE-288(代替パスを用いた認証の欠如)で、ゲートウェイまたはAAA仮想サーバーとして構成されたNetScalerが影響を受ける。セキュリティ企業Rapid7は「NetScaler ADCおよびNetScaler Gatewayは企業ネットワークの境界付近に配置されることが多い、広く利用されているエンタープライズ製品である」と指摘し、その公開性の高さと重要な役割から、脅威アクターが近く本脆弱性の悪用を試みると予想している。Rapid7によれば、8月19日時点で実際の悪用は確認されていないものの、Citrix製品の脆弱性がこれまで速やかに悪用されてきた経緯を踏まえ、各社は緊急パッチ適用を強く推奨している。
技術的な詳細
影響を受けるバージョンは、NetScaler ADC/Gateway 14.1系(14.1-73.32より前、FIPS版は14.1-73.32 FIPSより前)と13.1系(13.1-63.21より前、FIPS/NDcPP版は13.1-37.277より前)で、Secure Private AccessのHybrid展開も対象に含まれる。修正版は14.1-73.32、13.1-63.21およびそれぞれのFIPS/NDcPP対応版として提供されている。悪用の条件はビルドによって異なり、14.1-43.56以降および13.1-61.28以降の比較的新しいビルドではSAML構成が存在する場合に悪用可能となる一方、それより古いビルドではSAML構成の有無にかかわらず、ゲートウェイまたはAAA仮想サーバーが構成されていれば悪用対象となる。管理者は、設定ファイル内のSAMLアクションや認証・VPN仮想サーバーのエントリを確認し、自社環境が該当構成に当てはまるかを精査する必要がある。
なお同時に、SIP ALG(Session Initiation Protocol Application Layer Gateway)機能に起因するメモリオーバーフローの脆弱性CVE-2026-19489(CVSS 8.8、CWE-119)も修正されている。こちらはLarge Scale NAT(LSN)グループ内でSIP ALGが動作している場合にトリガーされ、予測不能な動作や完全なサービス拒否(DoS)を引き起こす可能性がある。両脆弱性は、JPMorgan Chaseのペネトレーションテストチームに所属するSamarth Vashisht氏によって責任ある形で報告された。
今後の見通し
Citrixを傘下に持つCloud Software Groupは、影響を受けるすべての製品ラインについて14.1-73.32以降または13.1-63.21以降への「緊急」アップデートを強く呼びかけている。NetScalerはこれまでも複数回にわたり実際に悪用される脆弱性が発見されてきた製品であり、境界防御の要として広く導入されていることから、パッチ未適用のシステムは公開後速やかに攻撃対象となるリスクが高い。セキュリティ企業各社は、パッチ適用に加えてLSNグループやSAMLアクションの設定内容を点検し、自組織の露出範囲を早急に把握するよう推奨している。