2026年9月7日 · Security-Advisory · Perimeter · Schwachstellenmanagement · IT-Sicherheit

NetScaler ADC 与 Gateway：BSI 通报已遭积极利用

NetScaler ADC 与 Gateway 中的两个漏洞，其中包括一个身份验证绕过；BSI 通报已遭积极利用。哪些系统受影响，以及哪些 Build 能解决问题。

2026 年 8 月 19 日，NetScaler 的制造商 Cloud Software Group 发布了一份 Security Bulletin，涉及 NetScaler ADC 和 NetScaler Gateway 中的两个漏洞。BSI 下属的 CERT-Bund 于 9 月 7 日更新了相应警告——并附注“已报告积极利用”。这样一来，一个原本可以等到下一个维护窗口的更新，变成了一个必须立即安装的更新。

制造商没有给出任何临时缓解方案（Workaround）。剩下的只有更新——以及此前已经发生了什么的问题。

两个漏洞

CVE-2026-19490 是一个经由替代路径的身份验证绕过（CWE-288），评分为 CVSS 9.3（4.0 版）。CERT-Bund 将该警告整体评为“严重”。攻击者既不需要登录凭据，也不需要任何用户配合；根据 CVSS 向量，该漏洞可从网络发起、无需事先登录即可利用。BSI 是针对整个警告注明积极利用的，并未将其归于两个漏洞中的某一个。

CVE-2026-19489 是一个内存溢出（CWE-119），评分为 CVSS 8.8，可能导致不可预知的行为或拒绝服务（Denial of Service）。它以一种较为特殊的配置为前提：必须在 Large-Scale-NAT 组中启用 SIP ALG。对于大多数将 NetScaler 用作远程访问网关的部署而言，这是两个漏洞中不那么紧迫的一个——但仍应予以修补，何况它会随同一更新一并修复。

谁受到影响

受影响的是客户自行运营、处于以下版本的部署：

  • NetScaler ADC 和 NetScaler Gateway 14.1，早于 14.1-73.32
  • NetScaler ADC 和 NetScaler Gateway 13.1，早于 13.1-63.21
  • NetScaler ADC FIPS 早于 14.1-73.32 FIPS
  • NetScaler ADC FIPS 和 NDcPP 早于 13.1-37.277

也就是说，Build 14.1-73.32 和 13.1-63.21 本身已经修复。这并非咬文嚼字：官方 CVE 条目对版本的表述是“through”（直至并包括），而制造商公告的表述是“before”（早于）。以公告为准。

同样受影响的还有混合 Secure-Private-Access 环境中的 NetScaler 实例。而由 Citrix 自行运营的云服务，则由制造商自行更新。

对于 CVE-2026-19490，关键在于设备所承担的角色。只有当设备被配置为 Gateway（SSL-VPN、ICA Proxy、CVPN、RDP Proxy）或 AAA Virtual Server 时，该漏洞才会生效。在较新的 Build 上，条件更窄：自 14.1-43.56、自 14.1-66.68-FIPS 以及自 13.1-61.28 起，只有在另外配置了 SAML-Action 的情况下，该漏洞才可被利用。在较旧的 Build 以及 13.1 FIPS 上，仅有 Gateway 或 AAA 配置就已足够。

制造商给出了可据以识别的配置行：SAML-Action 对应 add authentication samlAction，Gateway 与 AAA 角色对应 add authentication vserver 或 add vpn vserver。对于 CVE-2026-19489，则是带有 sipalg 的 add lsn group。因此，查看一下运行中的配置，比回忆这台设备当初是为何采购的更能可靠地回答这个问题。

关于优先级的一点提示：根据制造商的说明，一台既未配置为 Gateway、也未配置为 AAA Virtual Server 的 NetScaler，不满足 CVE-2026-19490 的前提条件。反之，如果它充当远程访问网关，那它恰恰处在关键的角色上。

现在应当做什么

  • 安装更新，不要等到下一个维护窗口。 制造商要求受影响的客户“尽快”安装已修复的版本，并明确表示没有临时缓解方案。自 BSI 警告更新以来，我们认为有必要立即更新。
  • 确定确切的 Build，而不是版本分支。 “我们在 14.1 上”并不能回答这个问题。区别在于连字符后面的 Build 编号。
  • 登记所有实例，而不只是已知的那一台。 高可用对、对外连接的测试系统以及混合环境中的实例都包括在内。一个未打补丁的第二节点就足够了。
  • 假定更新之前可能已遭入侵。 该漏洞自 8 月 19 日起即已公开。更新会修补漏洞，但不会撤销在此期间可能已经发生的事情。请检查日志、配置更改以及新建的账户是否有异常。
  • 终止会话并更换登录凭据。 公告并未要求这样做；我们仍然建议这样做。身份验证绕过会带来会话，而一个已经建立的会话并不会因为设备完成更新而终止。请在更新后终止现有会话，并更换可能经由网关流转过的登录凭据——也包括设备用于与目录服务或身份提供方通信的服务账户的凭据。
  • 厘清报告义务。 如果贵企业属于 NIS-2 的适用范围，而某项怀疑得到证实，那么自知悉之时起，一个期限即开始计算。

如果出于运营原因无法立即更新，就只能缩小时间窗口：关闭不需要的 Gateway 和 AAA 功能，将管理界面的访问限制在已知的源网络，并密切监控网关上的登录。这明确不属于制造商意义上的临时缓解方案——一个提供远程访问的网关，不放弃其用途就无法合理地与互联网隔离。因此，请将更新与此类措施并行规划，而不是放在其后，并记录哪个实例自何时起运行在哪个 Build 上。日后检查日志中的异常时，您会需要这些时间点。

为什么受害的总是边界设备

BSI 在《2025 年德国 IT 安全态势报告》“边界系统中的漏洞”一节中描述了这一模式：多家制造商的防火墙和 VPN 网关再次成为攻击目标，而从补丁可用到漏洞被利用之间的时间“在过去几年中越来越短”。在本案例中，从公告发布到 BSI 注明积极利用，相隔将近三周。

原因在于这些设备所处的位置。网关按定义就位于互联网上，接收登录请求，并在另一侧拥有通往内部网络的访问权限。绕过身份验证的人，并非站在门外，而是已经站在走廊里。与此同时，封闭的设备上通常不运行任何能报告可疑行为的终端检测——在暴露面最大的地方，可见性恰恰最低。

由此得出 BSI 在同一份态势报告中写下的那句话：“因此，在漏洞被利用的情况下，仅靠打补丁通常不足以让设备重新安全运行。”如果已安装的恶意软件未被清除、登录凭据未被更改，攻击者建立的访问途径可能在数月乃至数年之后仍被使用。BSI 建议将攻击面保持在最小，停用不需要的产品功能，并将管理访问限制在可信来源。

对运营而言，这意味着三件事。边界设备应连同 Build 版本和责任人一起纳入资产清单。它们的日志应在设备上被覆盖之前汇入一个中央系统。而在出现这样的漏洞之后，要问的不是“打补丁了吗？”，而是“从漏洞公开到打补丁之间，有什么是可能发生的——我们又如何排除它？”

sector7 如何提供支持

我们通过定期的漏洞扫描检查可从外部访问的攻击面，并通过补丁管理将发现的漏洞纳入按优先级排序的修复流程。对于受托管的环境，我们在托管服务框架内运营防火墙和 VPN 访问，并在发生事件时协助您分析安全事件。详情请见网络安全。

来源

让我们聊聊您的具体情况。

预约洽谈+49 212 240915 0