Citrix、NetScaler ADC・Gatewayの認証回避など深刻な脆弱性を修正する更新プログラムを公開

要点

• Citrixは、NetScaler ADCおよびNetScaler Gatewayに存在する2件の脆弱性に対処するセキュリティアップデートを公開した。
• 最も深刻度の高い「CVE-2026-19490」（CVSSスコア 9.3）では、特定の構成において認証がバイパスされる危険性がある。
• もう1件の「CVE-2026-19489」（CVSSスコア 8.8）は、特定条件下でメモリオーバーフローが発生し、サービス運用妨害（DoS）につながる。
• クラウド提供型サービスは対策済みだが、顧客が独自に管理・運用するオンプレミス等の環境は更新が必要となる。
• 現時点で悪用の報告はないものの、同社製品の脆弱性は過去にも早期に狙われた事例があり、速やかな確認が求められている。

---

米クラウド・仮想化技術大手のCitrix（シトリックス）は2026年8月20日、同社のネットワーク機器・ゲートウェイ製品である「NetScaler ADC」および「NetScaler Gateway」に存在する2件の脆弱性を修正するセキュリティ更新プログラムをリリースした。

公表された脆弱性のうち1件は、深刻度が「Critical（緊急）」に分類される認証回避の不具合となっている。同社は顧客に対し、対象となる構成に該当するかどうかを確認した上で、修正バージョンへのアップデートや緩和策を適用するよう案内している。

最大深刻度9.3の認証バイパス脆弱性「CVE-2026-19490」

今回修正された脆弱性のうち、特に深刻度が高いとされているのが「CVE-2026-19490」だ。共通脆弱性評価システム（CVSS：脆弱性の深刻度を数値で評価する指標）のスコアは9.3と極めて高い。

本脆弱性は、アプライアンスがGateway機能（SSL VPN、ICA Proxy、CVPN、RDP Proxyなどのリモートアクセス機能）またはAAA仮想サーバー（認証・認可・アカウンティングを一括制御する仮想サーバー）として稼働している環境において、認証プロセスが回避される恐れがあるものだという。

Citrixの発表によると、影響の有無はファームウェアのバージョンと設定内容の組み合わせによって以下のように分かれている。

• バージョン 14.1-43.56 以降 / 14.1-66.68-FIPS 以降: SAMLアクション（異なるシステム間で認証情報を連携する設定）が有効であり、かつGatewayまたはAAA仮想サーバーが構成されている場合に該当
• バージョン 14.1-43.55 以前: GatewayまたはAAA仮想サーバーが構成されている場合に該当
• バージョン 13.1-61.28 以降: SAMLアクションが設定されている場合に該当
• バージョン 13.1-61.27 以前 / 13.1 FIPS: GatewayまたはAAA仮想サーバーが構成されている場合に該当

管理者は設定ファイル内に add authentication samlAction.* や、add authentication vserver .*、add vpn vserver .* といった文字列が存在するかを確認することで、対象の前提条件に合致しているかを判別できると説明されている。

SIP ALG有効時に発生するメモリオーバーフロー「CVE-2026-19489」

もう1件の脆弱性「CVE-2026-19489」は、CVSSスコア8.8と評価されているメモリオーバーフローの不具合だ。

この問題が悪用された場合、システムの予期せぬ動作やサービス運用妨害（DoS：過剰な負荷などを与えてサービスを停止させる攻撃）が発生する可能性がある。ただし、影響を受けるのは大規模NAT（LSN）グループ設定において「SIP ALG（IP電話などのVoIP通信を中継・変換するプロトコル機能）」が有効化されている場合に限られる。

こちらの設定有無については、構成ファイル内に add lsn group.*sipalg.* の記述が含まれているかどうかで確認が可能だ。

影響を受ける製品と提供される修正バージョン

影響を受ける対象は、顧客自身が管理・運用するNetScaler ADCおよびNetScaler Gatewayだ。これには特定のFIPS（米国連邦情報処理標準）対応ビルドやNDcPPビルド、ならびに顧客管理インスタンスを利用する「SecurAccess ZTNA Hybrid」環境が含まれる。一方で、Citrix側が管理するクラウドサービスやAdaptive Authenticationについては、すでに必要な対策が完了しており影響を受けない。

Citrixが公開した修正済みバージョンは以下の通りとなっている。

• NetScaler ADC / NetScaler Gateway 14.1-73.32 以降
• NetScaler ADC / NetScaler Gateway 13.1-63.21 以降
• NetScaler ADC FIPS 14.1-73.32 FIPS 以降
• NetScaler ADC FIPS / NDcPP 13.1-37.277 以降

また、集中管理プラットフォームである「NetScaler Console」（サービス版またはオンプレミス版）を利用しており、ファームウェアが14.1-60.52超または13.1-63.16以上である場合は、デフォルトで有効な「Global Deny Lists（グローバル拒否リスト）」機能を通じてシグネチャが自動適用され、脆弱性への緩和措置として機能するという。

報告の経緯と背景

これらの脆弱性は、大手金融機関JPMorgan Chaseの侵入テスト（ペネトレーションテスト）チームに所属するSamarth Vashisht氏によって発見・報告された。現時点では、これらの脆弱性を悪用した実際の攻撃活動は確認されていないと伝えられている。

なお、同社製品を巡っては、前月（2026年7月）に入力値検証の不備に関する脆弱性「CVE-2026-8451」（CVSSスコア 8.8）が公表された際、公開から24時間未満で活発な悪用試行が確認された経緯があり、新しく開示された脆弱性は攻撃者にとって標的となりやすい傾向が指摘されている。