Кратко

  • CERT-SE обновил предупреждение о CVE-2026-19490 после того, как уязвимость NetScaler была включена в список известных эксплуатируемых уязвимостей CISA
  • Citrix обновила сервисы под своим управлением, а клиенты, использующие затронутые системы NetScaler, должны самостоятельно проверить и обновить их

Факты

Шведский CERT-SE обновил предупреждение о критической уязвимости в некоторых системах Citrix NetScaler ADC и NetScaler Gateway после появления данных о её эксплуатации.

Citrix сообщила об уязвимости CVE-2026-19490 в августе. Она может позволить атакующему обойти аутентификацию в затронутых системах NetScaler, хотя возможность эксплуатации зависит от версии ПО и конфигурации устройства.

Citrix сообщает, что её бюллетень касается развёртываний NetScaler ADC и NetScaler Gateway под управлением клиентов. Компания уже обновила затронутые этой проблемой облачные сервисы под своим управлением, однако клиенты, использующие уязвимые системы, должны самостоятельно установить соответствующие исправленные версии ПО. Некоторые гибридные развёртывания также могут включать системы NetScaler, ответственность за которые по-прежнему несёт клиент.

CERT-SE рекомендует как можно скорее обновить затронутые системы и проверить, нет ли признаков их компрометации. Это не означает, что атаке подверглась каждая уязвимая система NetScaler, однако организациям с системами, подверженными риску, необходимо не только установить исправления, но и проверить, могла ли уязвимость быть использована до установки обновления.

Оценка

Citrix установила исправления в облачных сервисах под своим управлением, однако это не охватывает все развёртывания NetScaler. Компаниям, которые самостоятельно управляют такими системами или используют гибридные среды с компонентами под управлением клиента, всё ещё необходимо проверить, затронуты ли эти системы, и самим обновить их.

Установка исправления — лишь часть работы. Если до обновления система была уязвима, специалистам по безопасности также нужно искать признаки того, что уязвимость могла быть использована. Система может быть полностью обновлена сегодня, но это не отвечает на вопрос, что происходило до установки обновления.

Для читателей BTW основной риск — неясность в том, кто отвечает за каждую систему. Для каждой системы NetScaler необходимо определить ответственного, подтвердить версию ПО и зафиксировать, требовалась ли проверка на компрометацию и была ли она завершена. Это надёжнее, чем предполагать, что Citrix обновила всё, что носит её название.

За чем следить

Следите за новыми рекомендациями Citrix и CERT-SE, особенно за информацией об эксплуатации уязвимости или признаках компрометации. В каждой организации главное — убедиться, что за каждой затронутой системой закреплён ответственный, статус установки исправления подтверждён и завершена проверка на признаки возможной более ранней компрометации.