CVE-2026-19490: Bypass de Autenticação Crítico no Citrix NetScaler Expondo Portais Empresariais

A Cloud Software Group lançou atualizações de segurança para uma vulnerabilidade crítica de bypass de autenticação que afeta os dispositivos NetScaler ADC e NetScaler Gateway. Rastreadas como CVE-2026-19490 e avaliadas em 9,3 na escala CVSS v4.0, a falha pode permitir que um invasor remoto não autenticado contorne os controles de autenticação em sistemas vulneráveis configurados como gateways ou servidores virtuais AAA.

A falha crítica de bypass de autenticação Citrix NetScaler é particularmente preocupante porque os dispositivos NetScaler Gateway frequentemente operam na borda de redes empresariais, fornecendo funcionalidade de SSL VPN e outros acessos remotos. A exploração bem-sucedida poderia dar ao invasor acesso a serviços protegidos sem exigir credenciais legítimas ou interação do usuário.

O CVE-2026-19490 tem um vetor CVSS indicando exploração baseada em rede, baixa complexidade de ataque, sem privilégios e sem interação do usuário, com impacto potencialmente alto na confidencialidade, integridade e disponibilidade. Essas características tornam os dispositivos vulneráveis voltados para a internet um alvo atraente assim que métodos de exploração confiáveis se tornem publicamente disponíveis.

A vulnerabilidade foi divulgada juntamente com o CVE-2026-19489, um problema de estouro de memória avaliado em 8,8 que pode causar comportamento imprevisível ou negação de serviço quando o SIP ALG está habilitado dentro de uma configuração NAT em Larga Escala. No entanto, o CVE-2026-19490 apresenta o risco de segurança mais severo porque tem como alvo a própria fronteira de autenticação.

Análise do CVE-2026-19490

A vulnerabilidade é classificada como CWE-288: Bypass de Autenticação Usando um Caminho Alternativo. Em vez de quebrar uma senha, roubar um token, ou explorar credenciais fracas, um invasor pode acessar um caminho de autenticação alternativo que não aplica os controles esperados pela configuração afetada do NetScaler.

As condições exatas de exposição dependem do ramo e da versão do software NetScaler. Para versões vulneráveis mais recentes, a exploração requer que uma ação SAML seja configurada. Versões mais antigas têm uma superfície de ataque mais ampla porque simplesmente operar o dispositivo como um Gateway ou servidor virtual AAA pode satisfazer o pré-requisito da vulnerabilidade.

Especificamente, as configurações afetadas incluem:

• NetScaler 14.1-43.56 e versões vulneráveis posteriores: explorável quando uma ação SAML está configurada.
• NetScaler 14.1-43.55 e versões vulneráveis anteriores: a configuração do Gateway ou servidor virtual AAA é suficiente.
• NetScaler 13.1-61.28 e versões vulneráveis posteriores: explorável quando uma ação SAML está configurada.
• NetScaler 13.1-61.27 e versões vulneráveis anteriores: a configuração do Gateway ou servidor virtual AAA é suficiente.
• Implantações FIPS 13.1: afetadas quando configuradas como um Gateway ou servidor virtual AAA.

Configurações de Gateway que podem expor o caminho vulnerável incluem SSL VPN, ICA Proxy, VPN Sem Cliente/CVPN e RDP Proxy. Servidores virtuais AAA também são afetados sob as condições especificadas para cada ramo de software.

O CVE-2026-19490 afeta versões suportadas do NetScaler ADC e NetScaler Gateway antes das versões corrigidas pelo fornecedor, incluindo:

• NetScaler ADC e NetScaler Gateway 14.1 antes da 14.1-73.32
• NetScaler ADC e NetScaler Gateway 13.1 antes da 13.1-63.21
• Versões FIPS e NDcPP vulneráveis correspondentes.

Implantações híbridas de Acesso Privado Seguro que dependem de instâncias NetScaler gerenciadas pela cliente também estão expostas e requerem a atualização apropriada do software. O Cloud Software Group já corrigiu seus próprios serviços de nuvem gerenciados e ofertas de Autenticação Adaptativa.

Os detalhes mais importantes para o CVE-2026-19490 relacionam-se à posição que esses sistemas ocupam dentro da infraestrutura empresarial. O NetScaler Gateway é comumente implantado como a camada de autenticação e acesso remoto entre usuários externos e aplicativos internos. Contornar essa barreira de segurança pode, portanto, fornecer a um invasor acesso não autorizado a serviços que as organizações intencionalmente mantêm atrás de controles de autenticação.

Diferentemente de vulnerabilidades que requerem uma conta autenticada, a exploração bem-sucedida não dependeria primeiramente do roubo de credenciais de funcionários. O vetor CVSS especifica sem privilégios e sem interação do usuário, tornando os dispositivos expostos potencialmente acessíveis diretamente pela rede quando a configuração necessária está presente.

O que acontece depois que a autenticação é contornada depende dos aplicativos e recursos disponíveis através do gateway afetado. Um adversário poderia potencialmente acessar serviços empresariais protegidos, reunir informações disponíveis para usuários remotos ou usar o acesso não autorizado como parte de uma invasão mais ampla no ambiente interno. A avaliação de severidade do fornecedor reflete impacto potencial alto em confidencialidade, integridade e disponibilidade.

Os administradores podem determinar se seus sistemas atendem aos pré-requisitos da vulnerabilidade inspecionando as configurações do NetScaler para ações SAML, bem como servidores virtuais de autenticação e VPN. Elementos de configuração relevantes incluem as entradas samlAction, authentication vserver e vpn vserver.

A vulnerabilidade foi divulgada de forma responsável por Samarth Vashisht da equipe de testes de penetração da JPMorgan Chase. As datas exatas de descoberta e relato privados não foram detalhadas publicamente nas divulgações citadas.

Até 20 de agosto de 2026, a divulgação do fornecedor e os dois relatórios citados não identificaram um PoC CVE-2026-19490 publicado nem confirmaram a exploração ativa em campo. No entanto, a combinação de acesso remoto não autenticado, baixa complexidade de ataque e implantação generalizada do NetScaler nas bordas das redes empresariais torna importante a remediação rápida antes que técnicas detalhadas de exploração circulem.

Não há IOCs CVE-2026-19490 específicos de campanha publicados nas divulgações citadas. Os defensores devem, portanto, focar na configuração do dispositivo, telemetria de autenticação, comportamento anormal de acesso remoto e evidências de sessões não autorizadas em vez de esperar por endereços IP maliciosos conhecidos, domínios ou hashes de arquivos.

Mitigação do CVE-2026-19490

O Cloud Software Group recomenda fortemente a atualização imediata dos dispositivos NetScaler geridos pelo cliente afetados. Os ramos principais corrigidos são:

• NetScaler ADC e NetScaler Gateway 14.1-73.32 ou posteriores
• NetScaler ADC e NetScaler Gateway 13.1-63.21 ou posteriores
• As versões corrigidas correspondentes FIPS e NDcPP construções.

Organizações operando Acesso Privado Seguro Híbrido com instâncias NetScaler gerenciadas pelo cliente também devem atualizar esses dispositivos. Ambientes de nuvem geridos pela Citrix já receberam a necessária remediação.

A detecção do CVE-2026-19490 deve começar com um inventário completo de sistemas NetScaler ADC e Gateway acessíveis externamente. As equipes de segurança devem registrar versões de software e identificar quais dispositivos hospedam servidores virtuais Gateway ou AAA e quais têm ações SAML configuradas.

Os administradores podem então priorizar sistemas voltados para a internet que simultaneamente atendam aos pré-requisitos de versão e configuração vulneráveis. Dispositivos usados para SSL VPN, ICA Proxy, CVPN, RDP Proxy ou autenticação centralizada merecem atenção especial porque mediam diretamente o acesso a recursos internos.

Para detectar tentativas de exploração do CVE-2026-19490 ou comportamentos suspeitos pós-autenticação, os defensores devem revisar o NetScaler, AAA, VPN, SAML, e a telemetria de aplicativos a jusante para atividades como:

• Sessões bem-sucedidas sem um evento de autenticação correspondente esperado
• Acesso a recursos protegidos sem uma sequência normal de login
• Solicitações incomuns relacionadas a SAML ou fluxos de autenticação
• Sessões estabelecidas para identidades inexistentes ou inesperadas
• Aumentos abruptos em solicitações não autenticadas contra servidores virtuais Gateway ou AAA
• Novas sessões remotas originárias de localizações geográficas incomuns ou endereços IP anteriormente não vistos
• Acesso a aplicativos internos inconsistente com o aparente histórico de autenticação
• Modificações inesperadas de configuração após atividades suspeitas de acesso remoto

Como o pedido de exploração exato ainda não foi documentado publicamente, esses comportamentos devem ser tratados como pistas de investigação em vez de confirmação única de que a vulnerabilidade foi explorada.

As equipes de segurança também devem preservar registros históricos de autenticação e acesso do NetScaler antes de atualizar quando possível. A correção impede futuras explorações, mas não pode determinar se um dispositivo foi acessado antes da remediação.

Se sessões suspeitas forem identificadas, os respondedores de incidentes devem investigar os recursos acessados através do Gateway afetado, revisar logs de aplicativos a jusante, inspecionar a atividade de autenticação e SAML, terminar sessões suspeitas e rodar credenciais ou tokens potencialmente expostos onde apropriado.

A mitigação do CVE-2026-19490 também deve incluir a migração de instalações NetScaler não suportadas para ramos de software suportados. Dispositivos que não mais recebem atualizações de segurança normais criam incerteza adicional porque as organizações não podem depender de futuras correções para novas vulnerabilidades de autenticação e segurança de memória.

Dada a severidade crítica e o papel voltado para a rede dos dispositivos afetados, as organizações devem tratar isso como uma atualização urgente de segurança de perímetro em vez de esperar pelo seu ciclo normal de manutenção. Ambos os relatórios citados alertam que o histórico do NetScaler como alvo de varredura e exploração aumenta a probabilidade de que sistemas vulneráveis atraiam atenção à medida que mais informações técnicas se tornam disponíveis.

Falar com vendas