关键的 Citrix NetScaler 身份验证绕过漏洞已在实际攻击中被利用

据漏洞情报公司 Previdian 称，攻击者已开始在野外针对一个严重级别的 Citrix NetScaler 漏洞发起攻击。

该漏洞被追踪为 CVE-2026-19490，当 NetScaler 设备被配置为 AAA 虚拟服务器或 Gateway（SSL VPN、ICA Proxy、CVPN、RDP Proxy）时，根据 NetScaler 固件版本以及是否配置了 SAML Action，该安全漏洞可允许低权限威胁行为者远程绕过身份验证。

"我们强烈建议客户查阅 NetScaler ADC 和 NetScaler Gateway 官方安全公告，评估其部署是否受影响，并尽快将受影响的设备升级到推荐的版本，"Citrix 在 8 月中旬修复该漏洞并敦促管理员尽快修补时警告道。

尽管该公司在 8 月 19 日的安全公告中尚未将该漏洞标记为正被积极利用，但 Previdian 创始人兼安全研究员 Ryan Dewhurst 周四告诉 BleepingComputer，在一个"可信的"概念验证漏洞利用程序在网上发布后，攻击者已开始在野外针对 CVE-2026-19490 发起攻击。

"9 月 3 日，我们的一个 NetScaler 传感器收到了来自三个不同源 IP 的与 PoC 匹配的请求，这些 IP 的地理位置分别位于澳大利亚、美国和德国，"Dewhurst 告诉 BleepingComputer。

"我们目前的评估是，这提供了利用尝试的证据，但并不能确认真实系统已被成功入侵。"

比利时网络安全中心（该国国家网络安全协调中心 NCC-BE）也在周五就该 CVE-2026-19490 漏洞的利用尝试发出警告，并敦促管理员优先修补其组织网络中所有存在漏洞的 Citrix NetScaler 设备。

尽管互联网威胁监督机构 Shadowserver 追踪到超过 22,000 台 NetScaler ADC 设备和近 1,700 个 Gateway 实例暴露在网上，但目前没有信息表明其中有多少是蜜罐、存在易受攻击的配置，或已针对 CVE-2026-19490 攻击进行了修补。

Citrix 曾在 3 月份敦促管理员修补另外两个 NetScaler 漏洞（CVE-2026-3055 和 CVE-2026-4368），而就在几天后，威胁行为者便开始在攻击中利用它们。

一周后，美国网络安全和基础设施安全局（CISA）将 CVE-2026-3055 漏洞添加到其积极利用漏洞目录中，并命令联邦机构在三天内修补存在漏洞的 Citrix 设备。

自 2021 年 11 月以来，这家美国网络安全机构已将 23 个 Citrix 漏洞标记为在野外被利用，其中 6 个还被勒索软件团伙滥用。