JPCERT/CCは、「NetScaler ADC（旧Citrix ADC）」および「NetScaler Gateway（旧Citrix Gateway）」において、遠隔から任意のコードが実行され得る脆弱性（CVE-2026-8452）に関する注意喚起を公表した。
脆弱性の詳細
JPCERT/CCは、NetScaler ADCおよびNetScaler Gatewayにリモートコード実行につながる脆弱性が存在すると公表した。CVE番号はCVE-2026-8452である。本脆弱性は、当初サービス運用妨害（DoS）や不審な動作につながる脆弱性として公表されていたが、その後の分析により、特定条件下で認証なしにリモートコード実行が可能となることが判明した。
JPCERT/CCによると、本件はネットワーク越しの攻撃により、攻撃者が対象機器上で任意のコードを実行できる可能性がある。特に、NetScaler ADCおよびNetScaler GatewayがSAMLサービスプロバイダ（SP）またはIdPとして構成されている場合に、ヒープベースのバッファオーバーフローを悪用して、認証なしでリモートコード実行に至る可能性が指摘されている。これにより、機器の乗っ取り、設定改ざん、内部ネットワークへの侵入の踏み台化、情報の窃取などにつながるおそれがある。
JPCERT/CCは、CVSS（共通脆弱性評価手法）のスコアについてもアドバイザリに記載しているため、運用判断時はJPCERT/CCが公表したCVSS値（ベーススコア／深刻度）を自社の優先度付けに直接反映させることが重要である。攻撃ベクタについては、JPCERT/CCは「リモート（遠隔）からのコード実行につながる」点を明示しており、インターネットに公開された機器では特に悪用リスクが高まる。なお、JPCERT/CCは2026年8月15日時点で本脆弱性の悪用を示す情報は確認していないものの、Webシェル設置が可能な概念実証コード（PoC）が公開されていることから、今後の攻撃発生を懸念している。
JPCERT/CCは、本脆弱性の影響を受ける対象製品が国内で広く利用されており、悪用された場合の影響が大きいことから、影響確認と更新を含む対策の実施を促している。中小企業においても、認証基盤やリモートアクセス経路に近い製品である点を踏まえ、優先度を上げて対応する必要がある。
影響を受ける製品・バージョン
- NetScaler ADC 14.1-72.61より前のバージョン
- NetScaler Gateway 14.1-72.61より前のバージョン
- NetScaler ADC 13.1-63.18より前のバージョン
- NetScaler Gateway 13.1-63.18より前のバージョン
- NetScaler ADC FIPS 14.1-72.61 FIPSより前のバージョン
推奨される対策
- ベンダーが提供する修正版（アップデート／パッチ）を適用：JPCERT/CCは、脆弱性を修正する更新プログラムの適用を強く推奨している。本脆弱性については、回避策よりもアップグレードが唯一かつ基本的な対応とされているため、アプライアンスのバージョンを確認し、影響を受けるバージョンであれば計画停止を含め速やかに更新する。
- 稼働中のバージョンと構成の棚卸し：JPCERT/CCによると対象はNetScaler ADC／Gatewayであり、とりわけSAML SP／IdPとして構成されている場合にリモートコード実行のリスクが高まる。管理画面や資産管理台帳で製品名・バージョン・公開状況（インターネット公開の有無）、SAML関連機能の利用有無を確認する。
- 公開範囲の見直し：JPCERT/CCが示すとおり遠隔から悪用され得るため、業務要件が許す範囲で管理系インターフェースや不要な公開を止め、アクセス元制限を行う。インターネットに公開されている場合は特に、不要なポートや機能の公開を抑止し、必要最小限の公開に絞ることが望ましい。
- 監視とログ確認の強化：JPCERT/CCの注意喚起に従い、更新までの間は不審なアクセスの兆候がないか、当該機器および周辺（WAF、FW、認証ログ等）のログを優先的に確認する。とりわけ、SAML関連のログや通信記録において、異常に長いSAML Responseやプロセスの異常終了・再生成といった挙動がないかを重点的に確認する。
- 侵害の有無の調査：PoCコードを悪用した攻撃が懸念されることから、痕跡が見つかった場合は、システム全体の侵害調査を含む詳細なセキュリティ診断の実施を検討する。必要に応じて、JPCERT/CCや専門ベンダーへの相談も視野に入れる。
日本の中小企業が今すぐ取るべき行動
- 最優先：自社でNetScaler ADC／Gatewayを使っているか確認（保守ベンダーやNW業者に「該当製品の有無」と「現行バージョン」、SAML機能の利用有無を即日確認する）。
- インターネット公開の有無で優先度を分ける：JPCERT/CCが示すように遠隔からの悪用が想定されるため、外部公開している場合は緊急度を最大化する。特に、認証なしでアクセス可能な構成やSAMLを利用した認証基盤として公開している場合は、最優先で対応する。
- 更新計画を確定し、保守契約先に適用を依頼：JPCERT/CCが推奨する修正版適用を前提に、停止時間・ロールバック手順・担当者を決めて今週中に実施日程を確保する。あわせて、更新対象が14.1-72.61または13.1-63.18以降の修正済みバージョンであることを確認する。
- 更新までの暫定措置としてアクセス制限と監視を実施：業務影響が小さい範囲で管理画面の制限、不要経路の遮断、ログ監視の重点化を行う。インターネット向けの公開については、必要に応じてVPNなど別経路への切り替えを検討する。
- 適用後の確認：バージョンが修正済みに変わったこと、公開設定が意図どおりであることを確認し、作業記録を残す。あわせて、SAML関連の設定が引き続き正しく動作しているか、ログ上不審な挙動が残っていないかを確認する。
CSRIからの現場アドバイス
実際のペネトレーションテストでは、リモートアクセス装置が長期運用され、更新が数カ月〜年単位で滞る例が目立つ。診断報告書でよく指摘されるのが「外部公開された管理機能」と「保守切れで更新不能」の組み合わせである。今回のNetScaler ADC／Gatewayの事案も、認証基盤やリモートアクセスの中核となる装置が長期間更新されないままインターネットに公開されている環境ほど、リスクが高くなる。
例えるなら、会社の正面玄関の鍵に“合鍵が作れてしまう欠陥”が見つかったようなものだ。つまり、外から来た第三者が勝手に中へ入り、機器を操作してしまう可能性があるということなので、後回しにできない。特に今回は、認証なしでWebシェル設置が可能なPoCコードが公表されている点を踏まえ、侵入経路として悪用される前に手を打つ必要がある。
まずNetScaler ADC／Gatewayを使っているか、機器名とバージョン、SAMLの利用状況を棚卸しする。次に担当者（またはベンダー）に、JPCERT/CCが示す修正版への更新可否と作業日程の確保を依頼する。併せて、外部公開の有無を確認し、不要な公開は止める。更新までの間は、SAML関連ログやネットワーク監視を強化し、不審な挙動が確認された場合は速やかに侵害調査を検討する。
参照: 注意喚起: NetScaler ADCおよびNetScaler Gatewayにおけるリモートコード実行につながる脆弱性（CVE-2026-8452）に関する注意喚起 (公開)
参考：公式情報・アドバイザリ
- CVE-2026-8452: NVD (NIST) / JVN検索
上記は本記事に関連する公式セキュリティ情報です。詳細は各機関の公式サイトをご確認ください。