Die kritische Schwachstelle CVE-2026-19490 betrifft laut Citrix NetScaler ADC und NetScaler Gateway in mehreren Versionsständen. Genannt werden die Reihen 14.1-43.56 oder neuer, 14.1-66.68-FIPS oder neuer, 14.1-43.55 oder älter, 13.1-61.28 oder neuer, 13.1-61.27 oder älter sowie 13.1 FIPS. Citrix beschreibt den Fehler als Umgehung der Authentifizierung über einen alternativen Pfad.
Zusammen mit CVE-2026-19490 hat Citrix auch CVE-2026-19489 behoben. Diese zweite Schwachstelle ist als hoch eingestuft und betrifft einen Speicherüberlauf. Wenn SIP ALG in einer LSN-Gruppenkonfiguration aktiviert ist, kann der Fehler laut Hersteller zu unerwartetem Verhalten oder zu einem Denial-of-Service führen.
Die Korrekturen sind nach Angaben von Citrix in NetScaler ADC und Gateway 14.1-73.32, 13.1-63.21, 14.1-73.32 FIPS sowie 13.1-FIPS und 13.1-NDcPP 13.1-37.277 enthalten. Citrix weist zudem darauf hin, dass auch Secure Private Access Hybrid-Bereitstellungen mit NetScaler-Instanzen betroffen sind. Kunden müssten diese NetScaler-Instanzen auf die empfohlenen Builds aktualisieren, um die Schwachstellen zu beheben.
Rapid7 stuft insbesondere CVE-2026-19490 als dringlich ein. Das Sicherheitsunternehmen erklärt, dass entfernte, nicht authentifizierte Angreifer die Lücke ohne Benutzerinteraktion ausnutzen könnten. Hinweise auf eine bereits laufende Ausnutzung gebe es zwar nicht, doch wegen der Rolle der Systeme in Unternehmensumgebungen seien sie ein attraktives Ziel.
Zur Begründung verweist Rapid7 auf den typischen Einsatz der Produkte. NetScaler ADC und NetScaler Gateway seien weit verbreitete Unternehmenslösungen für Netzwerke und häufig an der Peripherie des Netzes positioniert. NetScaler ADC stelle Funktionen für Anwendungsbereitstellung, Verkehrsmanagement, Lastverteilung, SSL/TLS-Offloading und Anwendungssicherheit bereit, während NetScaler Gateway sicheren Fernzugriff und VPN-Funktionen liefere.
Gerade weil NetScaler-Appliances typischerweise in Unternehmens-DMZs betrieben und öffentlich zugänglich seien, erwartet Rapid7 eine baldige Ausnutzung der kritischen Lücke. Organisationen sollten das Einspielen der Updates mit höchster Priorität behandeln. Citrix-Produkte seien hochwertige Ziele, bei denen nach der Veröffentlichung von Schwachstellen erfahrungsgemäß oft schnell Angriffe in freier Wildbahn folgten, so Rapid7.