情報取得日: 2026/09/09／最終確認: 2026/09/10・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-19490 |
|---|---|
| 製品 | Citrix / Citrix NetScaler ADC および NetScaler Gateway。**AAA 仮想サーバ**として、または **Gateway（SSL VPN・ICA Proxy・CVPN・RDP Proxy）**として構成されている場合に影響を受ける。いずれもインターネットに面して置かれる用途である。 |
| CVSS | 9.3（Critical） CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L |
| 種別 (CWE) | CWE-288 代替パス・代替チャネルを使った認証バイパス |
| 登録／公開日 | 2026/09/09 |
| KEV 期限 | 2026/09/12 まで（米国連邦機関向け目安） |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-19490 |
**CVSS 4.0 で 9.3（Critical）。**ベクタは **AV:N / AC:L / AT:N / PR:N / UI:N / VC:H / VI:H / VA:H** で、**ネットワーク越しに・低い難易度で・前提条件も権限も利用者の操作も要らず・機密性/完全性/可用性のすべてに高い影響**が出る。 CISA の記述はこうである。「NetScaler ADC および NetScaler Gateway に、代替パスまたは代替チャネルを使う**認証バイパス**の脆弱性がある。NetScaler アプライアンスが **AAA 仮想サーバ**として、または **Gateway（SSL VPN・ICA Proxy・CVPN・RDP Proxy）**として構成されている場合、**認証されていないリモートの攻撃者が認証をバイパスできる**可能性がある」。 **条件に注目すること。「AAA 仮想サーバ、または Gateway として構成されている場合」である。**これは NetScaler の中でも、**社外から社内へ人を通す役割**で使っている構成を名指ししている。純粋なロードバランサとしてだけ使っている構成とは、露出も影響も違う。自分の構成がどちらかを、まず確認する。 **NetScaler は狙われ続けている製品である。**インターネットに面し、認証を担い、その先に社内網がある——という位置は、攻撃者から見れば最も費用対効果が高い。CWE-288 の認証バイパスは、**多要素認証を入れていても、そもそも認証の経路を通らないので効かない**という点で特に厄介である。「MFA を入れているから大丈夫」は、この種の欠陥に対しては成り立たない。 **CISA は 2026-09-09 にこれを KEV へ収載し、是正期限を 2026-09-12（3日後）とした。**実際の悪用が確認されている。是正期限が3日という短さは、CISA がこれを緊急と見ていることの表れである。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
AWS Marketplace の NetScaler VPX を使っている場合は、Citrix が公開する修正版ビルドへ更新する。AWS 側の対応で直るものではない。
Gateway の仮想サーバは公開が前提なので、セキュリティグループでは塞げない。管理用 NSIP への到達だけは社内 CIDR / Bastion に絞る。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Google Cloud Marketplace の NetScaler VPX を修正版ビルドへ更新する。Google Cloud 側の修正では直らない。
VPC ファイアウォールで管理インターフェースへの到達範囲を確認する。Gateway 本体の公開は用途上残る。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure 上の NetScaler VPX / BLX を修正版ビルドへ更新する。
NSG で NSIP への受信を確認する。Azure Application Gateway など別製品への移行は、この CVE の対応にはならない（移行中も穴は開いたままである）。
参照リンク
|
| Linux | 対象外 |
汎用の Linux ディストリビューションは対象外である。NetScaler は Citrix が配布するアプライアンス／仮想アプライアンスで、その OS を自前で更新することはできない。
混在環境では、NetScaler の内側にある Linux サーバが「Gateway を通ってきた通信は認証済み」という前提で設計されていないかを確認する。この CVE はその前提を壊す。
参照リンク
|
**まず自分の構成が該当するかを確認する。**AAA 仮想サーバ、または Gateway（SSL VPN / ICA Proxy / CVPN / RDP Proxy）として構成しているかどうかが分かれ目である。 **NVD が示す影響範囲はビルド番号で切られている。** - NetScaler **ADC** … **14.1 系は 73.32 まで** / **13.1 系は 63.21 まで** - NetScaler **Gateway** … **14.1 系は 73.32 まで** / **13.1 系は 63.21 まで** **修正版のビルド番号は、Citrix の KB（CTX696939）で必ず確認すること。**このページは JavaScript で描画されるうえ Cloudflare の検証が入るため、本稿の執筆時点（2026-09-10）に自動取得できなかった。**取得できなかった数字をここに書くわけにはいかない**ので、上の範囲（NVD の適用範囲）だけを事実として示している。 **回避策は当てにしない。**認証バイパスは「設定で塞ぐ」性質の欠陥ではない。**更新するのが唯一の対応である。** **更新の前後で、侵害されていないかを見る。**認証バイパスが成立していた場合、痕跡は「認証ログに無い成功セッション」という形で出る。 - **AAA / Gateway の認証ログに対応が無いのに、セッションが張られている**記録がないか - 管理者アカウントの追加・変更、設定 (`ns.conf`) の予期しない差分 - 通常と違う時間帯・地域からの Gateway セッション **露出を減らす措置は、更新までの時間稼ぎとしてのみ有効である。**管理インターフェース (NSIP) がインターネットから到達できる構成なら、まずそこを閉じる。ただし **Gateway の仮想サーバ自体は公開しているのが本来の用途**なので、これで塞げるのは管理面だけである。攻撃面そのものは残る。 **この CVE は、同じ 2026-09-09 に KEV 入りした CVE-2026-20079（Cisco Secure FMC・CVSS 10.0）と合わせて扱うべきである。**どちらも境界に置く装置の認証バイパスで、期限も同じ 2026-09-12 である。**境界装置の「認証を通らずに入れる穴」が2つ同時に実悪用として確認された**という事実のほうが、個々の CVE より重い。境界の内側を信頼する設計になっている環境は、その前提を見直す機会である。
Critical（CVSS 9.3）に分類されるCitrix Citrix NetScaler ADC および NetScaler Gateway。**AAA 仮想サーバ**として、または **Gateway（SSL VPN・ICA Proxy・CVPN・RDP Proxy）**として構成されている場合に影響を受ける。いずれもインターネットに面して置かれる用途である。の脆弱性です。**CVSS 4.0 で 9.3（Critical）。**ベクタは **AV:N / AC:L / AT:N / PR:N / UI:N / VC:H / VI:H / VA:H** で、**ネットワーク越しに・低い難易度で・前提条件も権限も利用者の操作も要らず・機密性/完全性/可用性のすべてに高い影響**が出る。 CISA の記述はこうである。「NetScaler ADC および NetScaler Gateway に、代替パスまたは代替チャネルを使う**認証バイパス**の脆弱性がある。NetScaler アプライアンスが **AAA 仮想サーバ**として、または **Gateway（SSL VPN・ICA Proxy・CVPN・RDP Proxy）**として構成されている場合、**認証されていないリモートの攻撃者が認証をバイパスできる**可能性がある」。 **条件に注目すること。「AAA 仮想サーバ、または Gateway として構成されている場合」である。**これは NetScaler の中でも、**社外から社内へ人を通す役割**で使っている構成を名指ししている。純粋なロードバランサとしてだけ使っている構成とは、露出も影響も違う。自分の構成がどちらかを、まず確認する。 **NetScaler は狙われ続けている製品である。**インターネットに面し、認証を担い、その先に社内網がある——という位置は、攻撃者から見れば最も費用対効果が高い。CWE-288 の認証バイパスは、**多要素認証を入れていても、そもそも認証の経路を通らないので効かない**という点で特に厄介である。「MFA を入れているから大丈夫」は、この種の欠陥に対しては成り立たない。 **CISA は 2026-09-09 にこれを KEV へ収載し、是正期限を 2026-09-12（3日後）とした。**実際の悪用が確認されている。是正期限が3日という短さは、CISA がこれを緊急と見ていることの表れである。
**まず自分の構成が該当するかを確認する。**AAA 仮想サーバ、または Gateway（SSL VPN / ICA Proxy / CVPN / RDP Proxy）として構成しているかどうかが分かれ目である。 **NVD が示す影響範囲はビルド番号で切られている。** - NetScaler **ADC** … **14.1 系は 73.32 まで** / **13.1 系は 63.21 まで** - NetScaler **Gateway** … **14.1 系は 73.32 まで** / **13.1 系は 63.21 まで** **修正版のビルド番号は、Citrix の KB（CTX696939）で必ず確認すること。**このページは JavaScript で描画されるうえ Cloudflare の検証が入るため、本稿の執筆時点（2026-09-10）に自動取得できなかった。**取得できなかった数字をここに書くわけにはいかない**ので、上の範囲（NVD の適用範囲）だけを事実として示している。 **回避策は当てにしない。**認証バイパスは「設定で塞ぐ」性質の欠陥ではない。**更新するのが唯一の対応である。** **更新の前後で、侵害されていないかを見る。**認証バイパスが成立していた場合、痕跡は「認証ログに無い成功セッション」という形で出る。 - **AAA / Gateway の認証ログに対応が無いのに、セッションが張られている**記録がないか - 管理者アカウントの追加・変更、設定 (`ns.conf`) の予期しない差分 - 通常と違う時間帯・地域からの Gateway セッション **露出を減らす措置は、更新までの時間稼ぎとしてのみ有効である。**管理インターフェース (NSIP) がインターネットから到達できる構成なら、まずそこを閉じる。ただし **Gateway の仮想サーバ自体は公開しているのが本来の用途**なので、これで塞げるのは管理面だけである。攻撃面そのものは残る。 **この CVE は、同じ 2026-09-09 に KEV 入りした CVE-2026-20079（Cisco Secure FMC・CVSS 10.0）と合わせて扱うべきである。**どちらも境界に置く装置の認証バイパスで、期限も同じ 2026-09-12 である。**境界装置の「認証を通らずに入れる穴」が2つ同時に実悪用として確認された**という事実のほうが、個々の CVE より重い。境界の内側を信頼する設計になっている環境は、その前提を見直す機会である。
Citrix Citrix NetScaler ADC および NetScaler Gateway。**AAA 仮想サーバ**として、または **Gateway（SSL VPN・ICA Proxy・CVPN・RDP Proxy）**として構成されている場合に影響を受ける。いずれもインターネットに面して置かれる用途である。 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-19490）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/12 です。早急な対応が推奨されます。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/09/10）。