米シトリックスのネットワーク機器「NetScaler（ネットスケーラー）」に、認証を回避されて不正侵入を許す重大な脆弱性（CVE-2026-19490）が見つかり、すでに実際の攻撃に悪用され始めています。企業のリモート接続を支える機器だけに、影響の広がりが懸念されています。
CVSSは10点中9.3の「重大」
問題の脆弱性は、企業が社外から社内ネットワークへ安全に接続するために使う「NetScaler ADC」および「NetScaler Gateway」に存在します。深刻度を示すCVSSスコアは最大10点中9.3と「重大」に分類され、攻撃者はログイン情報を持たなくても、遠隔から認証を回避できてしまう恐れがあります。
日本など6つのIPから攻撃試行
セキュリティ企業プレビディアンによると、9月3日以降、この欠陥を狙う攻撃の試みが観測されました。同社のセンサーには、オーストラリア、ドイツ、日本、米国の6つのIPアドレスから計10回の攻撃試行が記録されたといいます。攻撃を再現する実証コードが9月初めに公開されたことが、悪用の呼び水になったとみられます。
この脆弱性を突く条件は、機器が特定の認証設定やVPN用の構成になっている場合に限られますが、NetScalerは過去にもたびたび攻撃の標的となってきた実績があります。シトリックスは修正版の適用を強く呼びかけており、利用組織には速やかなアップデートが求められます。
日本への影響
今回の攻撃試行の発信元に日本が含まれていた点は、国内企業にとって見過ごせない事実です。NetScalerは日本でも金融機関や大企業、官公庁のリモートアクセス基盤として広く導入されており、パッチ（修正プログラム）の適用が遅れれば、テレワーク環境を入り口に社内システムへ侵入される危険があります。認証を回避されれば、正規の利用者になりすまして機密情報へアクセスされたり、ランサムウエア攻撃の足がかりにされたりする恐れも否定できません。情報システム部門は自社が対象バージョンを使っていないかを直ちに確認し、修正版へ更新するとともに、不審なアクセスの痕跡がないか点検することが求められます。従業員一人ひとりも、VPN接続時の多要素認証の徹底など基本的な対策を怠らないことが大切です。
まとめ：便利なリモート接続の裏口を突かれないよう、「すぐに直す」という基本の徹底が何よりの防御になりますね。
出典：
BleepingComputer – Critical Citrix NetScaler auth bypass now leveraged in attacks
Rapid7 – CVE-2026-19490: Critical Vulnerability Affecting Citrix NetScaler
The Hacker News – Critical NetScaler Flaw Can Bypass Authentication
Photo: Valentin Lacoste / Unsplash
