CVE-2026-19490 NetScaler 脆弱性｜ビルド別の影響判定

はじめに

2026 年 8 月 19 日に Citrix（Cloud Software Group）が公開した Security Bulletin CTX696939 で、NetScaler ADC および NetScaler Gateway の認証回避の脆弱性 CVE-2026-19490 が明らかになりました。2026 年 9 月 9 日には CISA の Known Exploited Vulnerabilities Catalog（KEV）へ追加され、実環境での悪用が確認された状態に変わっています。

この脆弱性で影響判定が難しいのは、稼働しているビルドによって前提条件そのものが変わる点です。Advisory は Gateway または AAA 仮想サーバーの構成を共通の前提としたうえで、一定のビルド以降では SAML action の構成が条件に加わるとしています。「SAML を使っていないから対象外」という判断は、ビルドによって成立したりしなかったりします。

結論として、対象は顧客管理の NetScaler ADC / NetScaler Gateway であり、修正版は 14.1-73.32、13.1-63.21、14.1-73.32 FIPS、13.1-37.277 の各以降です。Advisory の回避策欄は「None」で、対処は修正版への更新になります。影響判定は「管理主体 → 稼働ビルド → Gateway / AAA 仮想サーバーの構成 → ビルドに応じた SAML action の有無」の順で切り分けると、対象外と誤認する経路を避けられます。

CVE-2026-19490 の概要と KEV 掲載までの経緯

CVE-2026-19490 は、NetScaler ADC および NetScaler Gateway における CWE-288（代替パスまたはチャネルを用いた認証回避）に分類される脆弱性です。CISA は KEV の説明で、アプライアンスが AAA 仮想サーバーまたは Gateway（SSL VPN、ICA プロキシ、CVPN、RDP プロキシ）として構成されている場合に、認証されていないリモートの攻撃者が認証を回避できる可能性があるとしています。

参考: CISA Known Exploited Vulnerabilities Catalog（CVE-2026-19490）
“an unauthenticated remote threat actor may be able to bypass authentication”
（認証されていないリモートの攻撃者が、認証を回避できる可能性がある）
https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-19490

脆弱性の内容と評価値

CVSS v4.0 の 9.3 は Citrix が CNA として付与した値で、CVE Record にも同じベクターが記録されています。SSVC は CISA-ADP が優先度判断のために付与した評価であり、この CVE で root 権限の取得や機器全体の掌握が実証されたことを示すものではありません。謝辞は Advisory 全体に対するもので、どの CVE を誰が報告したかまでは記載されていません。

公開から KEV 掲載までの時系列

脆弱性そのものの公開日は 2026 年 8 月 19 日であり、9 月 9 日は KEV への追加日です。CVE Record の CISA-ADP コンテナに記録された SSVC は timestamp が 2026-08-19 で、Exploitation は active です。ただし同コンテナの最終更新は 2026-09-10 であり、この値がいつ確定したかまでは記録から判別できません。悪用の開始時期、攻撃主体、被害規模について CISA は公開しておらず、KEV 掲載で確認できるのは実環境での悪用が認められたという事実に限られます。

CISA の Required Action と適用範囲

KEV に記録されている期限は 2026-09-12、Forensic Triage は Yes です。Required Action は、ベンダーの指示に従って対策を適用し、BOD 26-04 と関連する Forensics Triage Requirements に準拠することを求める内容になっています。これは米国の連邦政府機関へ向けた要求であり、日本の企業に同じ期限が一律に義務付けられるわけではありません。

実務上の手がかりになるのは、Forensic Triage が Yes とされている点です。更新だけで対応を終える区分ではないことが示されており、更新と侵害確認のどこまでを自組織の対応範囲に含めるかを決める材料になります。

対象外と判断した場合も、判定に使った稼働ビルドと構成の確認結果を残しておくと、次の Advisory が出たときの再判定が短時間で済みます。

同じ Advisory の CVE-2026-19489 との切り分け

CTX696939 には CVE-2026-19489 も含まれています。こちらは Large Scale NAT（LSN）グループの構成で SIP ALG が有効になっている場合に成立するメモリオーバーフローで、影響は予期しない動作またはサービス運用妨害とされています。CVSS v4.0 は 8.8、CWE は CWE-119 です。成立条件も影響も CVE-2026-19490 とは別で、執筆時点で KEV に掲載されているのは CVE-2026-19490 のみです。同じ修正リリースで両 CVE に対応できますが、前提条件を取り違えると影響判定が狂います。

ビルドと構成で変わる影響条件

Advisory は CVE-2026-19490 の前提条件として、まずアプライアンスが Gateway（SSL VPN、ICA プロキシ、CVPN、RDP プロキシ）または AAA 仮想サーバーとして構成されていることを挙げ、そのうえでバージョンごとの要件を示すという二層構造を取っています。Gateway または AAA 仮想サーバーの構成はすべてのビルドに共通する前提であり、バージョン別の要件はその上に重なります。この構造を平坦に読むと、判定を誤ります。

バージョン別の判定表

修正版より前の範囲の中で、どの前提条件が適用されるかを整理すると次のようになります。

この 14.1-43.56 や 13.1-61.28 という境界は、修正版の境界とは別物です。14.1-43.56 は SAML action が条件に加わる境界であり、修正が入ったビルドではありません。14.1-43.56 から 14.1-73.32 より前までのビルドは、SAML action が構成されていれば対象に含まれます。

参考: NetScaler ADC and NetScaler Gateway Security Bulletin（CTX696939）
“Applicable only when configured with a SAML action.”
（SAML action が構成されている場合にのみ該当する）
https://support.citrix.com/external/article/CTX696939/netscaler-adc-and-netscaler-gateway-secu.html

なお、引用した 13.1-61.28 以降の欄には SAML action のみが書かれており、14.1 の欄にある「かつ Gateway または AAA 仮想サーバー」の併記が省かれています。共通前提は前提条件の冒頭に一度だけ置かれているため、13.1 でも Gateway または AAA 仮想サーバーの構成が前提である点は 14.1 と変わりません。

個別条件が確認できない 14.1-FIPS と 13.1-NDcPP

前提条件欄に FIPS 系の記載として置かれているのは「14.1-66.68-FIPS 以降」と「13.1 FIPS」の 2 行だけです。14.1-66.68-FIPS より前の 14.1-FIPS と、13.1-NDcPP については、バージョン別の要件が示されていません。ここは、公式に確認できる事実と、本記事での運用判断を分けて扱います。

公式に確認できる事実

これらの系列は、Advisory の「影響を受けるバージョン」に 14.1-73.32 FIPS より前、13.1-37.277 より前として明記されており、修正版も示されています。対象外ではありません。

本記事での運用判断

適用される前提条件が確認できないため、構成の確認結果にかかわらず要確認として扱い、修正版への更新と Citrix サポートへの確認へ進める整理にしています。Citrix が明示している判定基準ではありません。

通常版の記載を FIPS / NDcPP へ当てはめて前提条件を補うのは推測になります。とくに、通常版の SAML の境界を持ち込んで「SAML action がないから対象外」と判断する根拠には使えません。

修正版と CVE Record の境界表記が一致しない

Advisory が案内している修正版は次のとおりです。

一方、CVE Record（CNA は NetScaler）の affected では通常版に lessThanOrEqual が使われており、14.1 は 73.32 まで、13.1 は 63.21 までが影響を受ける範囲として記録されています。この表記では、修正が入ったビルドそのものが影響範囲に含まれることになります。執筆時点の 2026 年 9 月 13 日でも、この差は解消されていません。

参考: CVE Record（CVE-2026-19490）
“This issue affects ADC: from 14.1 through 73.32”
（この問題は ADC の 14.1 から 73.32 までに影響する）
https://www.cve.org/CVERecord?id=CVE-2026-19490

更新先の判断は Advisory の記載に基づき、14.1-73.32 以降および 13.1-63.21 以降を修正版として扱うことをおすすめします。また CVE Record には FIPS と NDcPP のエントリがありません。脆弱性管理ツールが CVE Record の affected を参照している場合、修正版へ更新した機器が検出対象として残ったり、FIPS 系が検出対象から漏れたりする可能性があります。

脆弱性データベース側の記載と公式 Advisory の記載がずれる事象は、他製品でも起きています。Keycloak の CVE-2026-18963 でもスキャナーの検出結果と一次情報の突き合わせが必要になりました。検出結果と Advisory が食い違ったときは、ベンダー Advisory を基準に判断する方が実態に沿います。

管理主体による対象範囲の違い

顧客管理の NetScaler ADC / NetScaler Gateway

CTX696939 が対象としている範囲です。修正版へのアップグレードは利用者側の作業になります。

Secure Private Access Hybrid で利用する NetScaler インスタンス

Advisory は、この構成で使用している NetScaler インスタンスも影響を受けるとしています。推奨ビルドへのアップグレードが必要です。

Citrix 管理のクラウドサービスと Citrix 管理の Adaptive Authentication

Cloud Software Group 側がソフトウェア更新を実施すると説明されています。利用者側での更新作業は前提とされていません。

クラウドサービスを利用しているという理由だけで、一律に対象外と判断することはできません。Secure Private Access Hybrid のように、クラウドサービスと顧客管理の NetScaler インスタンスを組み合わせて使う構成があるためです。ハイブリッド構成の有無は個別に確認することをおすすめします。

自環境の影響を判定する手順

ここまでの条件を、実際に手を動かす順序へ落とし込みます。構成を先に見るのではなく、管理主体と稼働ビルドを先に確定させると、確認すべき構成の範囲が絞れます。

判定フロー

稼働ビルドと実行中設定を取得する

CLI では次のコマンドでバージョンとビルド番号を確認できます。

show ns version

参考: ns-version（ADC CLI Commands 14.1）
“Displays the version and build number of the appliance.”
（アプライアンスのバージョンとビルド番号を表示します）
https://developer-docs.netscaler.com/en-us/adc-command-reference-int/current-release/ns/ns-version.html

構成の確認は、実行中設定を取得して該当する行を探す方法が確実です。

show ns runningConfig

このコマンドは、保存されていない変更も含めてアプライアンス上で実行された設定を表示します。GUI では System > Diagnostics の View Configuration から Running Configuration を表示できます。保存済みの設定だけを見る show ns ns.conf では、未保存の変更が判定から漏れる点に注意が必要です。

設定内で確認する検索パターン

Advisory は、前提条件に該当するかどうかを構成内の次の文字列で判断できるとしています。

add authentication samlAction.*
add authentication vserver .*
add vpn vserver .*

上記は設定出力内で探す検索パターンです。実行用コマンドではないため、CLI には入力しないでください。

取得した出力を、次の観点で読みます。

• add vpn vserver の行がある場合、Gateway として構成されている
• add authentication vserver の行がある場合、AAA 仮想サーバーとして構成されている
• add authentication samlAction の行がある場合、SAML action が構成されている

この 3 点と稼働ビルドを判定表へ突き合わせると、対象・対象外・要確認が決まります。SAML action の有無だけを先に見て対象外と判断する進め方は、14.1-43.55 以前、13.1-61.27 以前、13.1-FIPS では誤りになります。これらのビルドでは Gateway または AAA 仮想サーバーの構成だけで条件が成立するためです。

修正版への更新と過去の露出の確認

更新先ビルドの選定と更新前後の確認

当該 CVE の最小修正ビルドと、実際の更新先として選ぶビルドは分けて考えます。CVE-2026-19490 の最小修正ビルドは 14.1-73.32 と 13.1-63.21 ですが、Advisory はいずれも以降のリリースを含めて推奨としています。更新計画を立てる時点で各ブランチの最新ビルドを確認し、他の Advisory の修正も含めて取り込む方が、短期間での再更新を避けられます。

CVE-2026-8452 の対応で 14.1-72.61 または 13.1-63.18 へ更新した機器は、今回の修正版には達していません。前回の更新で対処済みと考えていた環境ほど、稼働ビルドの再確認が必要になります。CVE-2026-8452 側の経緯と確認手順は別記事で整理しています。

回避策と、公式が認めていない緩和策

Advisory の Workarounds / Mitigating Factors 欄は None です。SAML action の削除や SAML 認証の無効化を、公式が認めた回避策として扱うことはできません。そもそも 14.1-43.55 以前や 13.1-61.27 以前、13.1-FIPS では SAML が条件に含まれないため、SAML を止めても対象から外れない構成があります。アクセス元の制限による露出低減は運用判断として成立しますが、脆弱性そのものは残るため更新の代替にはなりません。

更新しても残る過去の露出の確認

修正版への更新で当該脆弱性は修正されます。ただし、更新前に成立していた侵害や不正なセッションが解消されたことまでは、更新によって確認できません。CISA が Forensic Triage を Yes としているのも、更新と侵害確認を別の作業として扱っているためです。確認対象になるのは、次の 2 つが重なっていた期間です。

• 稼働ビルドが修正版より前だった期間
• 前提条件を満たす構成で、信頼できないネットワークから到達できた期間

現時点で修正版へ更新済みの機器や、構成変更によって前提条件を満たさなくなった機器も、過去にこの期間があれば確認の対象になります。現在の判定が対象外であることは、過去に露出していなかったことを意味しません。

執筆時点で、CVE-2026-19490 に固有の侵害指標は公開情報から確認できません。Advisory は前提条件の判定方法を示していますが、攻撃の痕跡や検出方法は記載していません。CISA も KEV エントリで具体的な調査手順を示していません。このため本記事では、認証回避一般に対する調査観点を示すにとどめます。実際に確認する範囲と判定は、Citrix のサポートや自組織のインシデント対応担当と確認しながら決めることをおすすめします。

• アプライアンスのログとアーカイブ済みログ、前段のリバースプロキシや WAF のアクセスログを、ローテートで失われる前に保全する
• Gateway / AAA 仮想サーバーの認証ログで、成功しているが利用実態と合わない認証がないかを確認する
• 想定外の時間帯や送信元から張られたセッション、通常と異なる遷移がないかを確認する
• 管理者アカウント、セッションポリシー、ポータルテーマ配下のファイルに想定外の変更がないかを確認する

同じ NetScaler でも、CVE-2026-8452 で公開された痕跡の情報は別の脆弱性に対するものです。ファイル名やプロセスの挙動といった具体的な指標を、そのまま CVE-2026-19490 の調査項目として使うことはできません。今後 CVE-2026-19490 に固有の指標が公開された場合は、その内容に沿って調査範囲を見直す必要があります。

侵害が疑われる痕跡が見つかった場合は、アプライアンス単体の対処にとどめず、認証情報の失効やセッションの無効化を含めた対応範囲の検討が必要になります。NetScaler は内部ネットワークへの入口として機能するため、認証回避が成立していた場合の影響は当該機器にとどまりません。

まとめ

CVE-2026-19490 は、2026 年 8 月 19 日に Citrix が公開し、2026 年 9 月 9 日に CISA KEV へ追加された NetScaler ADC / NetScaler Gateway の認証回避の脆弱性です。影響判定の難しさは、Gateway または AAA 仮想サーバーという共通前提のうえに、ビルドによって SAML action の条件が重なる二層構造にあります。修正版の判断は Advisory を基準とし、CVE Record の affected 表記との差異には注意が必要です。回避策が提供されていない以上、対処は修正版への更新になりますが、更新で確認できるのは脆弱性が修正されたことまでです。

• 対象は顧客管理の NetScaler と Secure Private Access Hybrid のインスタンス
• 共通前提は Gateway または AAA 仮想サーバーとして構成されていること
• 14.1-43.56 以降と 13.1-61.28 以降は、共通前提に SAML action が加わる
• 14.1-43.55 以前と 13.1-61.27 以前は、共通前提を満たせば SAML 未構成でも対象
• 14.1-FIPS の旧ビルドと 13.1-NDcPP は個別条件の記載がなく要確認
• 修正版は 14.1-73.32、13.1-63.21、14.1-73.32 FIPS、13.1-37.277 の各以降
• 更新で脆弱性は修正されるが、過去に露出していた期間の確認は別に残る

以上、最後までお読みいただきありがとうございました。