CISA добави критична уязвимост за заобикаляне на автентикацията в Citrix NetScaler (CVE-2026-19490) към своя каталог с известни експлоатирани уязвимости (KEV), след като бяха наблюдавани атаки в реална среда, насочени към този проблем. Федералните граждански агенции трябва да приложат мерките за защита, предоставени от производителя, до 12 септември 2026 г.

CVE-2026-19490 засяга устройствата Citrix NetScaler ADC и NetScaler Gateway, конфигурирани като виртуален сървър за автентикация, авторизация и одит (AAA) или като услуга Gateway. Това включва внедрявания, поддържащи функциите SSL VPN, ICA Proxy, CVPN и RDP Proxy.

Уязвимостта е класифицирана като CWE-288 („Заобикаляне на автентикация чрез алтернативен път или канал“). Тя би могла да позволи на отдалечен атакуващ без автентикация да заобиколи защитите за вход и да достъпи функционалност, която обикновено изисква валидни идентификационни данни.

Тъй като устройствата NetScaler често се внедряват в периметъра на корпоративните мрежи за осигуряване на отдалечен достъп, успешната експлоатация би могла да изложи на риск чувствителни приложения и вътрешни услуги.

Citrix пусна актуализации за сигурност за уязвимостта на 19 август 2026 г. Впоследствие беше засечена активност по експлоатация, след като публично бе публикуван достоверно потвърден концептуален код за експлоатация (proof-of-concept).

Уязвимост за заобикаляне на автентикацията в Citrix NetScaler е експлоатирана

Изследователи по сигурността съобщиха за заявки за атаки, насочени към капани за атакуващи (honeypots), започнали на 3 септември, като до 8 септември са регистрирани 56 опита. Наличните данни показват опити за експлоатация, но не потвърждават независимо дали киберпрестъпниците успешно са компрометирали производствени среди, използвайки уязвимостта.

Проблемът засяга версиите на NetScaler ADC и NetScaler Gateway 14.1 преди 14.1-73.32, както и версиите 13.1 преди 13.1-63.21.

Версиите Citrix NetScaler ADC FIPS преди 14.1-73.32, както и версиите NetScaler ADC FIPS и NDcPP преди 13.1-37.277 също са засегнати. Организациите трябва да преминат към съответните коригирани версии или по-нови издания.

По-новите засегнати инсталации изискват специфични конфигурационни условия, включително използване като SAML доставчик на идентичност. По-ранните версии могат да бъдат засегнати, когато са конфигурирани като Gateway или AAA виртуален сървър.

Поради това администраторите трябва да идентифицират всички инстанции на NetScaler с достъп до интернет, да потвърдят тяхната версия на фърмуера и да прегледат настройките за AAA, Gateway, VPN и SAML.

Включването на CVE-2026-19490 от CISA в каталога KEV означава, че агенциите трябва да дадат приоритет на отстраняването на уязвимостта съгласно Задължителна оперативна директива 26-04. Агенцията изисква също форензичен анализ за засегнатите активи, като подчертава, че само инсталирането на корекции за сигурност може да не е достатъчно при наличие на излагане на риск или съмнителна активност.

Екипите по сигурност трябва да прегледат логовете на устройствата за аномални събития при автентикация, неочаквани заявки, промени в конфигурацията, нови администраторски сесии и необичайни изходящи връзки.

Организациите трябва да изолират потенциално компрометираните устройства, да запазят доказателствата, да подменят съответните идентификационни данни и да оценят последващите среди и системи, достъпни през засегнатия портал.

До момента не е потвърдено използването на криптовируси (ransomware) при атаки с CVE-2026-19490. Въпреки това, комбинацията от публичен код за експлоатация, достъпна през интернет VPN инфраструктура и наблюдавани опити за експлоатация прави инсталирането на корекции за сигурност спешен приоритет за всички организации, използващи засегнати Citrix NetScaler среди.