Citrix NetScaler ADC／NetScaler Gatewayに複数の脆弱性（Weekly Report）

JPCERT/CCは、Citrix NetScaler ADCおよびNetScaler Gatewayに複数の脆弱性があると公表し、対象機器を運用する組織に対して、影響範囲の確認とベンダーが提供する修正の適用を呼びかけている。当該問題は、Cloud Software Groupが公表した複数の脆弱性情報（CVE-2026-19489、CVE-2026-19490 など）に対応しており、いずれも修正済みバージョンへの更新によって解消可能とされている。

脆弱性の詳細

JPCERT/CCは、Citrix NetScaler ADCおよびNetScaler Gatewayに複数の脆弱性が存在するとし、影響を受けるバージョンを運用している場合には、遠隔の攻撃者がネットワーク経由で不正な操作を試みることで、機器の挙動に影響を与える可能性があると注意喚起している。これらの脆弱性には、メモリオーバーフローに起因する予期しない動作やサービス妨害（DoS）につながるもの、代替パスを用いた認証回避により、正規の認証プロセスを経ずにアクセスされるおそれがあるものなどが含まれる。影響の有無は利用している製品・バージョンや構成に依存するため、ベンダー（Cloud Software Group）が提供するセキュリティアドバイザリの内容に基づき、自組織の環境を照合することが重要である。

注意：本記事の入力として提示された情報には、個別のCVE番号およびCVSSスコアの詳細な一覧が含まれていない。JPCERT/CCの当該公表内容では、CVE-2026-19489（メモリオーバーフロー脆弱性、CVSS 8.8）、CVE-2026-19490（認証バイパス脆弱性、CVSS 9.3）などの番号と評価値が示されているが、本記事では詳細なスコアの一覧は割愛し、「複数の脆弱性」として扱う。個別のCVSSスコアや評価指標を必要とする場合は、Cloud Software GroupおよびJPCERT/CCが公開するアドバイザリを直接参照することが推奨される。

JPCERT/CCは、対策として修正済みバージョンへの更新等を促している。公開サーバとして外部に提供している場合は、インターネットから到達可能な範囲が広くなり、攻撃を受けるリスクが高まるため、適用判断と作業を後回しにしない運用が求められる。特に、認証バイパスやメモリオーバーフローに起因する脆弱性は悪用された場合の影響が大きく、JPCERT/CCは国内で当該製品が広く利用されていることを踏まえ、早期の更新を強く推奨している。

影響を受ける製品・バージョン

• Citrix NetScaler ADC（旧 Citrix ADC）
• Citrix NetScaler Gateway（旧 Citrix Gateway）
• NetScaler ADC FIPS
• NetScaler ADC FIPSおよびNDcPP

JPCERT/CCが参照しているベンダー情報によれば、これらの製品について、以下のようなバージョンが影響を受けるとされている。

• NetScaler ADCおよびNetScaler Gateway 14.1系のうち、14.1-73.32より前のバージョン
• NetScaler ADCおよびNetScaler Gateway 13.1系のうち、13.1-63.21より前のバージョン
• NetScaler ADC FIPS 14.1-73.32 FIPSより前のバージョン
• NetScaler ADC FIPSおよびNDcPP 13.1-37.277より前のバージョン

なお、同製品群については、2026年3月公表の別の脆弱性（CVE-2026-3055、CVE-2026-4368 など）も存在するが、本Weekly Reportで言及されているのは、2026年8月に公表された複数の重大な脆弱性である。個々のCVEが自組織環境に与える具体的な影響範囲については、Cloud Software GroupのアドバイザリおよびJPCERT/CCの注意喚起文書を参照しながら確認する必要がある。

推奨される対策

• 修正の適用：JPCERT/CCが案内するベンダー情報に従い、NetScaler ADC／NetScaler Gatewayを修正済みバージョンへ更新する。具体的には、少なくとも 14.1-73.32（またはそれ以降）、13.1-63.21（またはそれ以降）のバージョンへの更新が推奨されている。
• 影響確認：製品名、エディション、稼働バージョン、公開範囲（インターネットから到達可能か、SAML IdPとして構成されているかなど）を棚卸しし、ベンダーが示す影響対象バージョンと照合する。特に、リモートアクセス用途やSAML連携用途で利用している機器は、被害発生時の影響が大きいため優先的に確認する。
• 運用上の備え：更新作業に備えて事前に設定・証明書・構成のバックアップを取得し、ロールバック手順を用意する。保守契約や停止調整の都合で更新が後回しになりがちな環境では、あらかじめメンテナンスウインドウの確保や関係部署との調整を進め、脆弱な状態が長期間放置されないようにする。
• 監視と兆候確認：管理画面やアクセスログ等を確認し、不審なアクセスや想定外の設定変更がないか点検する。SAML IdP機能を利用している場合は、認証フローに関するログやWebシェル設置などの痕跡がないかも併せて確認する。現時点で広範な攻撃が確認されていない場合でも、PoCコードの公開などにより今後攻撃が発生する可能性があるため、継続的な監視が重要である。

日本の中小企業が今すぐ取るべき行動

• 最優先：自社およびグループ会社、委託先の運用を含め、NetScaler ADC／Gatewayを利用しているかどうかを今日中に確認する。クラウドサービスやリモートアクセス基盤の一部として組み込まれている場合もあるため、ネットワーク機器、VPN／リモートアクセス装置、SAML連携装置などの一覧から洗い出す。
• 次に：稼働バージョンと公開状況（インターネットから到達可能か、外部の認証連携に利用されているか）を一覧化し、ベンダーが示す影響対象バージョンと照合して、更新の要否と優先度を判断する。
• 実施：保守ベンダーまたは運用担当に、更新計画（適用日、停止影響、手戻り手順、事前バックアップ方法）を今週中に提示してもらう。SaaSやマネージドサービスとして提供されている場合は、サービス提供事業者に対して、当該脆弱性への対応状況と更新予定を確認する。
• 並行：直近のログを確認し、不審なアクセス増加や管理操作の痕跡がないか一次点検する。特に、通常想定していないIPアドレスからの管理アクセス、認証失敗の急増、未知のファイルアップロードや設定変更などがないかを重点的に確認する。

CSRIからの現場アドバイス

実際のペネトレーションテストでは、境界装置やリモートアクセス機器の更新遅延が入口になる事例を多く確認している。診断報告書でよく指摘されるのが、保守契約切れや停止調整の難しさによりアップデートが先送りされる運用であり、その結果として既知の脆弱性が長期間放置され、攻撃者にとって「狙いやすい入口」になってしまうケースである。

例えるなら、会社の正面玄関の鍵に「古い鍵穴の弱点」が見つかったようなものである。外から来た攻撃者がその弱点を突いて、想定しない方法で社内ネットワークや重要なシステムに入り込もうとする可能性がある、ということを意味する。

まず NetScaler ADC／Gateway の有無とバージョンを確認し、外部公開されているか、SAML IdPとして利用されているかなどの構成を整理してほしい。次に運用担当者（またはベンダー）に、修正版への更新可否と具体的な作業手順を依頼する。あわせて直近ログの確認も今週中に実施し、異常なアクセスや設定変更の兆候がないかを確認することが望ましい。

参照: Weekly Report: Citrix NetScaler ADCおよびNetScaler Gatewayに複数の脆弱性