NetScaler ADCとNetScaler Gatewayを自社で管理している組織は、構成とビルド番号を確認し、修正版への更新を急ぐ必要があります。特にCVE-2026-19490は、条件を満たすGatewayまたはAAA仮想サーバーで認証を回避されるおそれがあり、CVSS v4.0の基本値は9.3です。ベンダーが示した回避策はないため、設定確認だけで対応を終えることはできません。
NetScalerの2件の脆弱性で分かったこと
NetScalerは2026年8月19日、顧客管理型のNetScaler ADCとNetScaler Gatewayに影響するセキュリティ情報CTX696939を公開しました。修正対象はCVE-2026-19489とCVE-2026-19490の2件です。
| 識別子 | 問題 | 成立条件 | CVSS v4.0 |
|---|---|---|---|
| CVE-2026-19489 | メモリオーバーフローによる予期しない動作またはサービス拒否 | Large Scale NATのグループでSIP ALGが有効 | 8.8 |
| CVE-2026-19490 | 別経路を使った認証回避 | GatewayまたはAAA仮想サーバーを使用。新しい一部ビルドではSAML actionの設定も必要 | 9.3 |
NVDのCVE-2026-19490記録は、ネットワーク経由で攻撃でき、攻撃の複雑さが低く、権限も利用者の操作も不要という評価を掲載しています。一方、CVE-2026-19489の記録では、可用性への影響が高いと評価されています。2件は影響の種類も成立条件も異なるため、自社構成に照らして別々に判定します。
影響を受ける版と構成
公式情報が示す影響範囲は、NetScaler ADCとNetScaler Gateway 14.1の14.1-73.32未満、13.1の13.1-63.21未満です。FIPS版では14.1-73.32 FIPS未満、13.1 FIPSと13.1 NDcPPでは13.1-37.277未満が対象です。NetScalerインスタンスを使うSecure Private Access Hybridも確認対象に含まれます。
この告知は顧客が管理するNetScaler製品を対象としています。Citrix管理のクラウドサービスとCitrix管理のAdaptive Authenticationは、Cloud Software Groupが必要な更新を実施すると説明しています。クラウドサービスを利用しているという理由だけで対象外と決めず、契約形態と管理責任の所在を先に確認すると判断を誤りにくくなります。
CVE-2026-19490の条件
14.1-43.56以降と13.1-61.28以降では、SAML actionに加え、SSL VPN、ICA Proxy、CVPN、RDP Proxyのいずれかを担うGateway、またはAAA仮想サーバーの構成が条件です。それ以前の該当ビルドと13.1 FIPSでは、GatewayまたはAAA仮想サーバーの構成だけで条件を満たします。
公式情報は構成確認の手掛かりとして、add authentication samlAction、add authentication vserver、add vpn vserverを挙げています。ただし、文字列が見つからないことだけで安全と断定するのではなく、実際に稼働する設定、機器の版、管理方法を担当者が照合する必要があります。
CVE-2026-19489の条件
CVE-2026-19489は、Large Scale NATのグループでSIP ALGを有効にしている構成が対象です。公式情報はadd lsn groupとsipalgを含む設定の確認方法を示しています。SIP ALGを使わない環境ではこの条件に当てはまりませんが、同じ機器がCVE-2026-19490の条件を満たす可能性は別に調べます。
悪用状況の読み方
NVDに掲載されたCISAの補足評価では、8月20日時点で両CVEの悪用状況は「none」とされています。これは、その評価時点で実悪用を示す情報が記録されていないという意味であり、将来の悪用がないことを保証するものではありません。CERT-EUのセキュリティ勧告2026-010も、影響を受ける機器をできるだけ早く更新するよう求めています。
危険度だけを見て侵害済みと決めつけるのも適切ではありません。現時点の一次情報は脆弱性と修正版を伝えるもので、特定の組織への攻撃や侵害痕跡を報告するインシデント情報ではありません。更新の優先度は高く保ちつつ、侵害の有無は自社のログと構成変更履歴に基づいて判断します。
管理者が進める対応手順
- 対象機器と管理責任を確定する NetScaler ADC、NetScaler Gateway、Secure Private Access Hybridで使うNetScalerインスタンスを台帳と実環境の両方から洗い出します。委託先が管理する機器も、更新責任と完了報告の方法を確認します。
- ビルド番号と設定条件を照合する FIPS版やNDcPP版を通常版と混同せず、稼働ビルドを修正版の基準と比べます。Gateway、AAA仮想サーバー、SAML action、Large Scale NAT、SIP ALGの有無を記録し、2件のCVEを個別に判定します。
- 修正版へ更新する 通常版は14.1-73.32以降または13.1-63.21以降、14.1 FIPSは14.1-73.32 FIPS以降、13.1 FIPSと13.1 NDcPPは13.1-37.277以降が公式の修正基準です。ベンダーは回避策を示していないため、設定変更だけを恒久対策にしません。
- 更新後の状態を検証する ビルド番号、Gatewayと認証の疎通、設定差分、監視の復帰を確認します。管理者認証の失敗と成功、想定外のVPNまたはAAAセッション、不審な設定変更も自社の通常状態と比較します。これらは一般的な防御確認であり、ベンダー公表の侵害痕跡ではありません。
- 証跡と未完了リスクを共有する 対象判定、更新日時、担当者、検証結果、未更新機器を一つの記録にまとめます。業務上すぐ更新できない機器があれば、外部公開範囲の縮小や一時停止を検討し、Citrixサポートへ相談します。ただし、露出を減らす対応は修正版の適用を置き換えません。
脆弱性対応の基礎を開発と運用の両面から見直す場合は、greeden.blogのWebシステムの脆弱性を見つける方法も参考になります。
事業側が確認したい三つの問い
- 社外から利用される認証経路を、機器名ではなく業務サービスと対応付けられているか
- 修正版が出たとき、停止調整から検証までを誰が進めるか決まっているか
- 委託先の更新完了を、口頭報告ではなくビルド番号と検証結果で確認できるか
認証基盤やVPNゲートウェイは、働き方と業務継続に直結します。情報システム部門だけに対応を閉じると、停止時間の調整や利用者への案内が遅れます。事業責任者は技術的な修正作業に介入するのではなく、優先順位、許容停止時間、未完了リスクの受け入れを明確にします。
編集部の見解
今回の告知から得られる前向きな教訓は、更新速度を競うことより、構成をすぐ答えられる運用を作ることです。製品名と版だけでなく、SAMLやGatewayなどの利用条件まで台帳に残せば、対象判定は短くなります。更新作業、業務影響の調整、完了確認を一つの手順にしておくことが、次の告知でも迷わず動ける備えになります。
よくある質問
NetScalerを使っていれば必ず影響を受けますか
必ずではありません。製品の版に加え、CVEごとの構成条件があります。ただし、条件の確認だけで終えず、影響版なら公式情報に従って更新可否を判断します。
SAMLを使っていなければCVE-2026-19490の対象外ですか
ビルドによって異なります。14.1-43.56以降と13.1-61.28以降ではSAML actionが条件に含まれますが、それ以前の該当ビルドと13.1 FIPSではGatewayまたはAAA仮想サーバーの構成だけで条件を満たします。
更新まで設定変更でしのげますか
ベンダーが示した回避策はありません。外部公開範囲を減らす措置は攻撃面を狭める可能性がありますが、修正にはなりません。更新できない理由と期限を管理し、必要に応じてCitrixサポートへ相談します。
出典
- NetScalerセキュリティ情報CTX696939
- NVD：CVE-2026-19490
- NVD：CVE-2026-19489
- CERT-EU：Security Advisory 2026-010
- 株式会社greeden公式サイト
この記事に関連する株式会社greedenの取り組み
脆弱性対応は、更新だけでなく構成の把握と保守手順の整備まで続きます。株式会社greedenは、Webシステム開発を要件定義から保守と改善まで支援し、運用に沿った安全な仕組みづくりに伴走します。