概要
Citrix NetScaler ADC/Gatewayに存在する重大な認証バイパス脆弱性CVE-2026-19490(CVSS 9.3)が、実際の攻撃活動で悪用されていることが複数のセキュリティ企業により確認された。Citrixは8月19日にこの脆弱性を修正するアップデートを公開していたが、9月2日にGitHub上で概念実証(PoC)コードが公開されたことを受け、9月3日から悪用の試みが観測され始めた。影響を受けるのはNetScaler ADC 14.1(14.1-73.32以前)および13.1(13.1-63.21以前)で、パッチ未適用の組織は早急な対応が求められている。
脆弱性の詳細と攻撃手法
CVE-2026-19490はCWE-288(代替パスを利用した認証バイパス)に分類される認証バイパスの脆弱性で、リモートから認証・ユーザー操作なしに悪用可能という深刻な特性を持つ。AAA仮想サーバーやGateway(SSL VPN、ICA Proxy、CVPN、RDPプロキシなど)として構成されたNetScalerが対象となり、SAML Actionの構成状況やファームウェアバージョンによって影響範囲が異なる。セキュリティ企業Previdianの分析によれば、具体的な攻撃手法はHTTP-Redirectバインディングを用いた「SAML unsigned-assertion bypass」であり、署名のないSAMLアサーションを悪用して認証プロセスを迂回するというものだ。
攻撃の観測状況
Previdianのテレメトリでは、9月3日から7日にかけてオーストラリア・ドイツ・日本・台湾・米国の9つのIPアドレスから計18件の悪用の試みを検出したとしている(ただし「中程度の信頼度」での検出と付記されている)。Field Effectも9月4日、BleepingComputerの報道を引用する形で攻撃活動の開始を報告しており、複数の情報源が悪用の発生を裏付けている。なお本稿執筆時点でCISAの既知悪用脆弱性(KEV)カタログには未登録となっている。Shadowserverの調査では、22,000台以上のNetScaler ADCと約1,700台のGatewayインスタンスがインターネットに露出していることが確認されており、攻撃対象となり得る母数の大きさが懸念材料となっている。
対応状況と推奨される対策
Citrixは8月19日の時点で修正版をリリース済みであり、ベルギー国家サイバーセキュリティセンター(NCC-BE)も9月に注意喚起を発している。各社が呼びかけている対策は共通しており、該当バージョンを使用している組織は直ちに推奨ビルドへアップグレードすること、管理インターフェースを専用ネットワークに限定してインターネットからの直接アクセスを避けること、認証ログを詳細に確認して不審なアクセスの痕跡がないか点検すること、そして多要素認証の導入や一元的な監視体制の構築が挙げられている。PoC公開から悪用開始までの期間が1日程度と極めて短かったことからも、パッチ未適用のNetScalerを運用する組織は優先度を上げて対応する必要がある。