Citrix NetScaler ADC・Gateway の CVE-2026-19490: 認証を回避される恐れ、KEV 掲載・CVSS v3.1 9.8

Citrix の NetScaler ADC と NetScaler Gateway に、認証を迂回される脆弱性（CVE-2026-19490、代替パスまたはチャネルを使った認証回避、CWE-288）が見つかり、CISA は 2026-09-09 に悪用が確認された脆弱性として KEV に追加しました。AAA 仮想サーバーまたは Gateway（SSL VPN、ICA Proxy、CVPN、RDP Proxy）として構成した機器では、認証なしのリモートの攻撃者が認証を回避できる可能性があります。NVD の CVSS v3.1 は 9.8（CRITICAL、AV:N/AC:L/PR:N/UI:N）、EPSS は 0.327（パーセンタイル 0.983、2026-11-02）です。

概要

項目	内容
CVE	CVE-2026-19490
製品	Citrix NetScaler ADC、NetScaler Gateway
影響を受ける版	14.1 系は 73.32 まで、13.1 系は 63.21 まで（ADC・Gateway とも。NVD の記載）
問題	代替パスまたはチャネルを使った認証回避（CWE-288）
攻撃条件	ネットワーク経由、認証不要、ユーザー操作不要。AAA 仮想サーバーまたは Gateway として構成されている場合（CISA の説明）
悪用状況	CISA KEV に 2026-09-09 追加（対応期限 2026-09-12）。ランサムウェアでの利用は不明。CISA の SSVC 評価は、悪用あり・自動化可能・技術的影響は全面的

読むときの注意

• NVD の説明は「NetScaler ADC と Gateway に脆弱性がある」とだけ書かれ、技術的な詳細は含まれません。認証回避の具体的な仕組みは、CISA の説明にある構成条件以外、ここでは書けません。
• 上記の版は、パッチを含む表記（14.1-73.32 など）が上限です。どのビルドで修正されたかは、ベンダーの勧告（CTX696939）の本文を取得できていないため未確認です。
• KEV 掲載により、少なくとも一部の環境で悪用が確認されています。ただし標的や規模は公開情報からは分かりません。

対策

• Citrix の勧告（CTX696939）を確認し、修正版へ更新する。
• 自社の機器が AAA 仮想サーバーまたは Gateway（SSL VPN、ICA Proxy、CVPN、RDP Proxy）として構成されているかを確認する。
• CISA は KEV の対応として、ベンダーの手順による緩和と、フォレンジック調査（Forensics Triage）の実施を求めている。更新前に侵害されていないか、セッションや設定の変更、不審な管理者アカウントを点検する。
• 管理インターフェースをインターネットへ直接公開しない。

数値と出典（2026-11-03 時点）

項目	内容
NVD の状態	Analyzed（2026-08-19 公開、2026-10-26 更新）
CVSS v3.1	9.8（CRITICAL。NVD。CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）
CVSS v4.0	9.3（CRITICAL。Secondary。AV:N/AC:L/AT:N/PR:N/UI:N）
CWE	CWE-288
EPSS	0.3265（パーセンタイル 0.983、2026-11-02）
KEV	2026-09-09 追加、期限 2026-09-12、ランサム利用は不明
出典	NVD、Citrix セキュリティ情報（CTX696939）、CISA KEV、FIRST

未確認の点

• 認証回避の具体的な仕組みと、回避後に到達できる範囲。
• 修正版の版番号と、緩和策だけで足りるかどうか。勧告本文は取得できていない。
• 悪用の手口、標的、規模、ランサムウェアでの利用。
• 14.1 系・13.1 系以外の版（クラウド提供分を含む）への影響。