Luka w NetScaler ADC i Gateway pozwala z internetu ominąć logowanie do bramy VPN i serwera AAA. Exploit jest publiczny, CISA potwierdza ataki. Zaktualizuj do 14.1-73.32 lub 13.1-63.21 i sprawdź logi.
Ten alert jest dla zarządu, CTO i CFO firm, które udostępniają pracownikom zdalny dostęp lub aplikacje przez Citrix NetScaler ADC albo NetScaler Gateway. Werdykt: jeśli Wasze urządzenie działa jako brama VPN, ICA Proxy lub serwer uwierzytelniania AAA i nie ma wersji 14.1-73.32 lub 13.1-63.21, zaktualizuj je dziś i sprawdź, czy ktoś nie wszedł już do sieci.
Amerykańska agencja CISA 9 września 2026 roku dopisała CVE-2026-19490 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Luka pozwala osobie z internetu, bez loginu i hasła, obejść logowanie na urządzeniu NetScaler, które pełni rolę bramy do firmowej sieci. CISA dała amerykańskim agencjom federalnym tylko trzy dni na naprawę i wymaga dla tej luki analizy śledczej, czyli sprawdzenia, czy do włamania już nie doszło.
Producent (Cloud Software Group, właściciel marki Citrix) wydał poprawkę 19 sierpnia 2026 roku. Według firmy Previdian pierwsze próby ataków pojawiły się 3 września 2026 roku, dzień po opublikowaniu w sieci exploita.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-19490 |
Data dodania do CISA KEV | 2026-09-09 |
Termin naprawy wg CISA | 2026-09-12 (3 dni od wpisu) |
Produkt | Citrix (Cloud Software Group) NetScaler ADC i NetScaler Gateway zarządzane przez klienta, także instancje NetScaler we wdrożeniach hybrydowych Secure Private Access. Usługi chmurowe zarządzane przez Citrix producent zaktualizował sam |
Wersje zagrożone | 14.1 przed 14.1-73.32; 13.1 przed 13.1-63.21; ADC FIPS przed 14.1-73.32 FIPS; ADC FIPS i NDcPP przed 13.1-37.277. Warunek: urządzenie działa jako Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) lub serwer wirtualny AAA. W nowszych kompilacjach (14.1-43.56 i nowsze, 14.1-66.68 FIPS i nowsze, 13.1-61.28 i nowsze) dodatkowo musi być skonfigurowane logowanie SAML |
Wersje bezpieczne | 14.1-73.32 i nowsze; 13.1-63.21 i nowsze w gałęzi 13.1; 14.1-73.32 FIPS i nowsze; 13.1-37.277 dla FIPS i NDcPP |
Typ podatności | Obejście uwierzytelniania przez alternatywną ścieżkę lub kanał; CWE-288 |
Ocena CVSS | Producent (NetScaler): 9.3 (CVSS 4.0, KRYTYCZNA). NVD: 9.8 (CVSS 3.1, KRYTYCZNA). Atak przez sieć, bez konta i bez udziału użytkownika |
Wyobraź sobie biurowiec, w którym każdy wchodzący musi pokazać przepustkę ochroniarzowi przy głównych bramkach. Ochrona jest dobra, kamery działają, lista gości jest aktualna. Okazuje się jednak, że przy rampie rozładunkowej są drugie drzwi, które prowadzą do tego samego korytarza, a stojący tam pracownik zakłada, że skoro ktoś już jest w środku, to przeszedł kontrolę.
NetScaler Gateway to właśnie takie główne wejście do firmowej sieci dla pracowników pracujących z domu, partnerów i użytkowników aplikacji udostępnianych przez Citrix. Luka CVE-2026-19490 to te „drugie drzwi”: przy określonej konfiguracji urządzenie może wpuścić kogoś, kto nie przeszedł logowania. Producent nie podał sposobu obejścia problemu innego niż aktualizacja.
💡 NetScaler ADC to urządzenie, które rozdziela ruch do aplikacji firmy i chroni je od strony internetu. NetScaler Gateway to brama zdalnego dostępu, czyli firmowy VPN. AAA (uwierzytelnianie, autoryzacja, rozliczanie) to usługa sprawdzająca, kim jest użytkownik. SAML to standard logowania jednym kontem do wielu systemów, np. przez Microsoft Entra ID. Obejście uwierzytelniania oznacza wejście bez poprawnego loginu i hasła.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Logowanie do firmowego VPN | Wymagane hasło i często drugi składnik | Osoba z internetu może ominąć logowanie |
Uwierzytelnianie dwuskładnikowe (MFA) | Zatrzymuje ataki na skradzione hasła | Nie pomaga, bo krok logowania jest pomijany |
Dostęp do aplikacji udostępnianych przez Citrix | Tylko dla uprawnionych pracowników | Potencjalnie dla atakującego |
Logi urządzenia | Pokazują, kto się zalogował | Wejście może nie wyglądać jak zwykłe logowanie |
Poprawka od producenta | Wdrażana w najbliższym oknie serwisowym | Musi być wdrożona natychmiast, bo ataki już trwają |
źródło: magnific.comPoniżej typowy przebieg ataku dla podatności obejścia logowania w bramie zdalnego dostępu. To scenariusz poglądowy: luka nie wymaga konta ani udziału pracownika, a CISA ocenia atak jako możliwy do zautomatyzowania. Publiczne źródła nie opisały jeszcze potwierdzonych włamań, tylko próby wykorzystania.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wyszukiwanie celów | T-godziny | Skanowanie internetu w poszukiwaniu stron logowania NetScaler Gateway | Lista urządzeń do sprawdzenia |
2. Sprawdzenie wersji | T+0 min | Automatyczne rozpoznanie, czy urządzenie ma podatną wersję i konfigurację | Wybór celów |
3. Obejście logowania | T+kilka minut | Użycie publicznego exploita | Dostęp jak zalogowany użytkownik |
4. Rozpoznanie sieci | T+godziny | Przeglądanie dostępnych aplikacji, serwerów i udziałów sieciowych | Mapa systemów firmy |
5. Utrwalenie dostępu | T+godziny do dni | Zakładanie własnych kont lub instalowanie narzędzi zdalnego dostępu wewnątrz sieci | Dostęp, który przetrwa aktualizację urządzenia |
6. Właściwy atak | T+dni do tygodni | Kradzież danych, sprzedaż dostępu innym grupom, szyfrowanie systemów | Wyciek, szantaż, przestój |
NetScaler Gateway stoi na styku firmy z internetem i z definicji musi być dostępny dla każdego, kto chce się zalogować. Według BleepingComputer organizacja Shadowserver śledzi ponad 22 tysiące urządzeń NetScaler ADC i blisko 1700 instancji Gateway dostępnych z internetu. Rapid7 zauważa, że luki obejścia logowania w produktach Citrix są niemal zawsze wykorzystywane przez przestępców.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Awaryjna aktualizacja i restart bramy, przerwa w pracy zdalnej, w razie włamania wyłączenie systemów | Godziny do dni | 20 tys. do 200 tys. PLN (przestój, nadgodziny, wsparcie zewnętrzne) |
Bezpieczeństwo danych | Dostęp do aplikacji wewnętrznych, serwerów plików i poczty bez logowania | Minuty do dni od ataku | 40 tys. do 300 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Żądanie okupu, odtwarzanie systemów, kary umowne | Dni do tygodni | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów po ujawnionym włamaniu | Tygodnie do miesięcy | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia danych osobowych do UODO w ciągu 72 godzin, przy wysokim ryzyku także powiadomienia osób; kary RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; dla podmiotów objętych przepisami o krajowym systemie cyberbezpieczeństwa także zgłoszenie incydentu | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z NetScaler Gateway lub AAA dostępnym z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNA
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo
NetScaler bez roli Gateway ani AAA: ta luka nie dotyczy,
ale aktualizacja nadal zalecana (biuletyn obejmuje też CVE-2026-19489). Interpretacja: wpływ jest maksymalny, bo chodzi o wejście do sieci firmy z pominięciem logowania, a prawdopodobieństwo najwyższe, bo exploit jest publiczny, próby ataków trwają od 3 września 2026 roku, a CISA potwierdza wykorzystanie; to sytuacja KRYTYCZNA.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać wszystkie urządzenia NetScaler ADC i Gateway (fizyczne, wirtualne, w chmurze, także u dostawcy usług) z wersją oprogramowania | Dziś | Administrator sieci |
2 | 🔴 NATYCHMIAST | Sprawdzić, które z nich działają jako Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) lub serwer AAA i czy mają logowanie SAML | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zaktualizować podatne urządzenia do 14.1-73.32, 13.1-63.21, 14.1-73.32 FIPS lub 13.1-37.277 (FIPS i NDcPP) albo nowszych | Dziś | Administrator sieci / partner Citrix |
4 | 🔴 NATYCHMIAST | Przejrzeć logi urządzeń i sesje VPN od 19 sierpnia 2026 roku pod kątem nietypowych sesji, zwłaszcza od 2 września | Dziś | Dział IT / zespół bezpieczeństwa |
5 | 🟠 PILNIE | Sprawdzić w sieci wewnętrznej nowe konta, zmiany uprawnień i nieznane narzędzia zdalnego dostępu na serwerach dostępnych przez bramę | Do 3 dni | Zespół bezpieczeństwa |
6 | 🟠 PILNIE | Jeśli cokolwiek budzi wątpliwości: zlecić analizę powłamaniową i zmienić hasła kont uprzywilejowanych | Do 3 dni | CTO |
7 | 🟡 WAŻNIE | Zapisać się na powiadomienia o biuletynach bezpieczeństwa Citrix i ustalić procedurę łatania urządzeń brzegowych w 24-72 godziny | Do 30 dni | CTO |
Producent wydał poprawki dla wszystkich wspieranych gałęzi i wprost podaje, że nie ma obejść zastępujących aktualizację. Poniższe miary mogą jedynie ograniczyć ryzyko na kilka godzin, do czasu wdrożenia poprawki. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ograniczenie dostępu do strony logowania Gateway do znanych adresów IP (np. biura, partnerów) | Średnia do wysokiej, zależnie od tego, ilu użytkowników pracuje z różnych miejsc | Średnia: utrudnia pracę mobilną |
Czasowe wyłączenie roli Gateway lub AAA na urządzeniu | Wysoka: usuwa warunek podatności | Trudna: odcina pracę zdalną |
Wzmocnione monitorowanie sesji VPN i alarmy o nowych kontach w domenie | Niska jako ochrona, przydatne do wykrycia | Średnia |
Przeniesienie dostępu zdalnego na inną, aktualną bramę na czas aktualizacji | Wysoka | Trudna, wymaga przygotowanej alternatywy |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja NetScaler | Podatna, np. 14.1 sprzed 73.32 | 14.1-73.32 lub 13.1-63.21 i nowsze |
Logowanie do VPN | Możliwe do obejścia z internetu | Wymaga poprawnego uwierzytelnienia |
Wiedza o włamaniu | Nikt nie sprawdzał | Logi przejrzane, wynik udokumentowany |
Konta w sieci wewnętrznej | Możliwe nieznane konta atakującego | Zweryfikowane, podejrzane usunięte |
Proces łatania urządzeń brzegowych | Według zwykłego kalendarza | Poprawki krytyczne wdrażane w 24-72 godziny |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). CISA w ocenie SSVC: wykorzystanie aktywne, atak automatyzowalny, wpływ techniczny całkowity. Previdian widział próby ataków od 3 do 9 września 2026 roku z adresów m.in. w Australii, USA i Niemczech |
Grupy przestępcze | Brak publicznych informacji: doniesienia nie przypisały ataków żadnej nazwanej grupie |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.3 KRYTYCZNA wg producenta (CVSS 4.0); 9.8 KRYTYCZNA wg NVD (CVSS 3.1) |
PoC dostępny publicznie? | TAK: według SecurityWeek i Previdian exploit pojawił się na GitHubie 2 września 2026 roku |
Liczba atakowanych firm | Brak publicznych danych. Previdian: dowody prób wykorzystania, bez potwierdzenia udanych włamań. Shadowserver: ponad 22 tys. ADC i ok. 1700 Gateway dostępnych z internetu (nie wiadomo, ile podatnych) |
Ostrzeżenia instytucji | CISA (KEV z wymogiem analizy śledczej), belgijskie Centrum Cyberbezpieczeństwa (CCB) |
Historia produktu | Według BleepingComputer CISA od listopada 2021 roku uznała za wykorzystywane 23 luki Citrix; w marcu 2026 roku atakowano CVE-2026-3055 kilka dni po poprawce |
Sygnały zagrożenia dla CVE-2026-19490
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 4.0 (producent) 9.3/10 ███████████████████░ KRYTYCZNA
EPSS (Previdian) 5.6% █░░░░░░░░░░░░░░░░░░░ rośnie po publikacji exploita
CISA KEV TAK ████████████████████ termin 3 dni
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2026-08-19 Biuletyn CTX696939, poprawki 14.1-73.32 i 13.1-63.21,
publikacja CVE-2026-19490
2026-08-19 Rapid7: brak oznak wykorzystania, spodziewane wkrótce
2026-09-02 Publikacja exploita na GitHubie (wg SecurityWeek)
2026-09-03 Previdian: pierwsze próby ataków w czujnikach
2026-09-04 Previdian publicznie ostrzega o próbach ataków
(wkrótce także belgijskie CCB)
2026-09-09 Wpis do katalogu CISA KEV, ostatnie próby widziane
przez Previdian
2026-09-12 Termin naprawy wg CISA dla agencji federalnych
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta z listą wersji i sposobem sprawdzenia konfiguracji: CTX696939 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-19490 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić listę urządzeń NetScaler i ich wersje, także u dostawców usług | CTO | DZISIAJ |
2 | Zatwierdzić awaryjne okno serwisowe na aktualizację, nawet w godzinach pracy | CTO | DZISIAJ |
3 | Otrzymać potwierdzenie wdrożenia wersji z poprawką na każdym urządzeniu | CTO | DZISIAJ |
4 | Otrzymać wynik przeglądu logów VPN i kont w sieci od 19 sierpnia 2026 roku | CTO | DO JUTRA |
5 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
6 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące terminów zgłoszenia incydentu | CFO | DO JUTRA |
7 | Sprawdzić, czy umowa z partnerem Citrix obejmuje awaryjne aktualizacje i czas reakcji | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile mamy urządzeń NetScaler ADC lub Gateway i gdzie działają? | [liczba], [lokalizacja] | 🔴 |
2 | Jaka wersja oprogramowania jest na każdym z nich? | [wersja] | 🔴 |
3 | Czy któreś działa jako Gateway (VPN, ICA Proxy, CVPN, RDP Proxy) lub serwer AAA? | TAK / NIE | 🔴 |
4 | Czy mamy skonfigurowane logowanie SAML na tych urządzeniach? | TAK / NIE | 🔴 |
5 | Kiedy wdrożyliśmy wersję z poprawką? | [data] | 🔴 |
6 | Czy przejrzeliśmy logi sesji VPN i konta w domenie od 19 sierpnia 2026 roku? | TAK / NIE, [data] | 🟠 |
7 | Ile czasu zajmuje nam wdrożenie krytycznej poprawki na urządzeniu brzegowym? | [liczba godzin] | 🟡 |
CVE-2026-19490 pozwala z internetu obejść logowanie na NetScaler Gateway i serwerach AAA, a exploit jest publiczny od 2 września 2026 roku i CISA potwierdza wykorzystanie. Producent nie przewiduje obejść, więc jedyną skuteczną ochroną jest aktualizacja do 14.1-73.32 lub 13.1-63.21. Ze względu na kilkutygodniowe okno ekspozycji po aktualizacji trzeba też sprawdzić, czy nikt nie wszedł do sieci wcześniej.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.