Die schwerwiegendere der beiden Schwachstellen ist CVE-2026-19490. Nach Angaben von Citrix handelt es sich um eine Authentifizierungs-Bypass-Lücke in Appliances, die als Gateway konfiguriert sind, also etwa für SSL VPN, ICA Proxy, CVPN oder RDP Proxy, oder als AAA Virtual Server betrieben werden. Die Schwachstelle greift dabei nur, wenn die jeweils versionsspezifischen Voraussetzungen erfüllt sind.
Citrix fordert Kunden auf, ihre Konfigurationen gezielt zu überprüfen. Wörtlich empfiehlt der Hersteller, zu prüfen, ob die dokumentierten Vorbedingungen zutreffen. Die Priorisierung solle sich an Exponierung, Bereitstellungsrolle und der Frage orientieren, ob die betroffene Konfiguration aktiviert ist.
Die zweite Lücke, CVE-2026-19489, bewertet Citrix mit einem CVSS-Wert von 8,8. Dabei handelt es sich um einen Speicherüberlauf, der unvorhersehbares Verhalten oder einen Denial-of-Service auslösen kann. Diese Schwachstelle ist allerdings an eine enge Bedingung geknüpft: Sie betrifft nur Umgebungen, in denen Session Initiation Protocol Application Layer Gateway (SIP ALG) für eine Large Scale NAT (LSN)-Gruppenkonfiguration aktiviert ist.
Für beide Schwachstellen stellt Citrix nach eigenen Angaben Möglichkeiten bereit, die jeweilige Betroffenheit über die NetScaler-Konfiguration zu prüfen. Sowohl für CVE-2026-19489 als auch für CVE-2026-19490 nennt der Hersteller dafür jeweils eine bestimmte Zeichenfolge, nach der Kunden in ihrer Konfiguration suchen können.
Für CVE-2026-19490 beschreibt Citrix außerdem eine zusätzliche Abhilfemaßnahme. Wer NetScaler Console als Dienst oder lokal einsetzt und eine NetScaler-Firmware höher als 14.1-60.52 beziehungsweise 13.1-63.16 oder neuer verwendet, kann demnach Signaturen nutzen. Grundlage ist die Funktion Global Deny Lists, die diese Signaturen verarbeitet und automatisch auf über NetScaler Console verwaltete NetScaler-Appliances anwendet. Laut Citrix ist diese Funktion standardmäßig aktiviert.
Die Korrekturen stehen laut Citrix in aktualisierten Versionen bereit. Der Hersteller nennt als betroffen ausschließlich kundenseitig verwaltete Installationen von NetScaler ADC und NetScaler Gateway, einschließlich bestimmter FIPS- und NDcPP-Builds, sowie SecurAccess ZTNA Hybrid, sofern dort kundenseitig verwaltete NetScaler-Instanzen zum Einsatz kommen. Von Citrix verwaltete Cloud-Dienste und Citrix-managed Adaptive Authentication seien dagegen nicht betroffen, weil die erforderlichen Updates dort bereits eingespielt worden seien.
Entdeckt und gemeldet wurden die beiden Schwachstellen laut Citrix von Samarth Vashisht aus dem Penetrationstest-Team von JPMorgan Chase. Hinweise auf eine Ausnutzung der jetzt offengelegten Lücken in freier Wildbahn gibt es dem Hersteller zufolge bislang nicht. Citrix-Schwachstellen geraten nach ihrer Veröffentlichung jedoch immer wieder schnell ins Visier von Angreifern: Im vergangenen Monat wurden bei CVE-2026-8451, einer Schwachstelle wegen unzureichender Eingabevalidierung in NetScaler ADC und NetScaler Gateway mit einem CVSS-Wert von 8,8, bereits weniger als 24 Stunden nach der öffentlichen Offenlegung aktive Ausnutzungsversuche beobachtet.