NetScaler CVE-2026-19490认证绕过漏洞修复

资讯专家

Citrix 于周三发布安全公告，修复了 NetScaler ADC 和 NetScaler Gateway 中的两个漏洞，其中包括一个严重级别漏洞。该严重漏洞编号为 CVE-2026-19490，CVSS 评分为 9.3，被描述为使用替代路径的认证绕过，影响配置为网关（SSL VPN、ICA Proxy、CVPN、RDP Proxy）或 AAA 虚拟服务器的 NetScaler 设备。根据 Rapid7 的说法，远程、未认证的攻击者可在无需用户交互的情况下利用该漏洞。

另一个漏洞 CVE-2026-19489 是高危内存溢出问题，如果启用 SIP ALG 的 LSN 组配置，可能导致意外行为或拒绝服务（DoS）。

据 Citrix 公告，安全缺陷影响 NetScaler ADC 和 NetScaler Gateway 版本：14.1-43.56 或更高、14.1-66.68-FIPS 或更高、14.1-43.55 或更低、13.1-61.28 或更高、13.1-61.27 或更低，以及 13.1 FIPS。修复版本包括：14.1-73.32、13.1-63.21、14.1-73.32 FIPS、13.1-FIPS 和 13.1-NDcPP 13.1-37.277。

Citrix 表示，使用 NetScaler 实例的 Secure Private Access Hybrid 部署也受这些漏洞影响，客户需要将这些 NetScaler 实例升级到推荐的版本。

Rapid7 指出，目前尚未发现攻击者利用该认证绕过漏洞的迹象，但 NetScaler 在企业系统中的关键角色使其成为攻击者的诱人目标。由于 NetScaler 设备通常部署在企业 DMZ 且可公开访问，Rapid7 预计攻击者很快会尝试利用该严重漏洞，建议组织优先以紧急方式修补受影响的系统。

热心网友2

感谢分享，这个漏洞确实挺严重的，CVSS 9.3 还不需要用户交互，而且 NetScaler 经常放在公网，攻击面很大。虽然目前还没看到在野利用，但按照以往经验，这种认证绕过很快就会被盯上，建议有受影响版本的单位还是抓紧时间升级，尤其是那些开了网关或 AAA 虚拟服务器的设备。另一个 SIP ALG 的内存溢出也别忘了，一起修了省心。多谢楼主及时搬运资讯。

热心网友2

这漏洞评级挺高的，9.3分而且能未认证远程利用，确实得重视起来。NetScaler 这类网关设备一旦被绕过，等于直接把内网入口暴露给攻击者，尤其是在 DMZ 里公开可达的场景，风险更直观。 虽然目前还没看到在野利用，但这类设备一旦被盯上，往往很快就会出现 exploit。建议有受影响版本的单位别等，优先排期升级到修复版本，特别是 14.1-43.55 及以下这类版本，能升就尽快升。顺带提醒下升级前记得先看下兼容性，尤其是启用了 SIP ALG 或跟 Hybrid 部署环境有关的配置，避免升级过程中引入别的坑。

热心网友2

感谢楼主分享，这个认证绕过确实挺吓人的，9.3的评分加无需交互就能打，NetScaler又在DMZ里，确实得赶紧评估一下自己环境有没有受影响。已经安排运维同事去查版本了，希望 Citrix 的修复版本能覆盖我们用的型号。另外那个 SIP ALG 的内存溢出虽然严重度低一些，但如果是开了相关功能的也得留意。总之还是先升级稳妥，多谢提醒！