CVE-2026-8452 NetScaler の脆弱性｜KEV 追加と影響確認

はじめに

2026 年 6 月 30 日に Citrix（Cloud Software Group）が公開した NetScaler ADC および NetScaler Gateway の脆弱性 CVE-2026-8452 が、2026 年 8 月 26 日に CISA の Known Exploited Vulnerabilities Catalog（KEV）へ追加されました。公開から約 2 か月を経て、実環境での悪用が確認された状態に変わっています。

この脆弱性が扱いにくいのは、情報源によって説明の粒度が大きく異なる点です。Citrix はメモリオーバーフローと DoS として説明していますが、watchTowr Labs は認証前のリモートコード実行が可能であると分析し、PoC コードを公開しています。どちらを前提に影響範囲を見積もるかで、対応の優先度が変わります。

結論として、対象は顧客管理の NetScaler ADC / NetScaler Gateway であり、Citrix は回避策を提供していないため、修正済みバージョンへのアップグレードが基本的な対処になります。影響確認は、Citrix 公式の前提条件である Gateway または AAA 仮想サーバー構成を第一段階、公開されている技術分析が到達条件として挙げている SAML 構成を第二段階として、二段階で判断すると精度が上がります。外部から到達可能な状態で未更新のビルドを稼働させていた環境では、更新に加えて侵害調査の実施も検討する段階に入っています。

CVE-2026-8452 の概要と KEV 追加までの経緯

CVE-2026-8452 は、NetScaler ADC および NetScaler Gateway における CWE-119（メモリバッファの境界外操作）に分類される脆弱性です。Citrix は CTX696604 で公開した 6 件の脆弱性のうちの 1 件として扱っており、CVE-2026-8452 単独の Advisory は発行されていません。

評価値の整理

CVSS v4.0 と v3.1 は評価フレームワークが異なり、スコアを直接比較して「どちらが正しい」と判断することはできません。実務では、CNA が付与した v4.0 の 8.8 と、NVD が付与した v3.1 の 9.8 が併存している事実を押さえたうえで、SSVC の Exploitation: active（実悪用あり）を優先度判断の材料にする方が実態に沿います。

EPSS が 0.01041 と低めの値にとどまっている点にも注意が必要です。EPSS は今後 30 日間の悪用観測確率を推定する指標であり、既に KEV へ収載されている脆弱性の危険度を否定する材料にはなりません。

公開から KEV 追加までの時系列

KEV の記載内容と、確認できる事実の範囲

参考: CISA Known Exploited Vulnerabilities Catalog（CVE-2026-8452）
“which could lead to denial of service”
（サービス運用妨害につながる可能性がある）
https://www.cisa.gov/known-exploited-vulnerabilities-catalog

KEV の記載も Citrix 公式と同じく DoS を影響として挙げており、認証前 RCE には触れていません。CISA の KEV 追加によって確認されたのは「CVE-2026-8452 が実環境で悪用されている」という事実です。どのような攻撃経路が使われたか、公開された PoC が実際の攻撃に使われたか、攻撃主体や被害組織については、公開情報から確認できません。

米国連邦政府機関には、2026 年 8 月 29 日が修正期限として設定されました。この期限は BOD 26-04 に基づくものであり、日本の一般企業に同じ期日が義務付けられているわけではありません。ただし、KEV 収載と SSVC の Exploitation: active は、社内の緊急パッチ適用プロセスを起動する客観的な根拠として利用できます。

情報源ごとの説明の違いと技術的な原因

この脆弱性で最も混乱しやすいのが、情報源ごとに説明の粒度が異なる点です。まず全体像を表で押さえます。

JPCERT/CC は、2026 年 8 月 15 日時点で悪用を示す情報を確認していない一方、本製品が国内で広く利用されているとしています。

以下は、表だけでは補いにくい点の補足です。

Citrix の記述に SAML への言及がない

Citrix は CVE と報告者の対応関係を明示していません。CTX696604 の謝辞には JPMorgan Chase の XOR チームの Michael Tucker 氏、watchTowr の Aliz Hammond 氏、Maxim Suhanov 氏が挙げられていますが、どの CVE を誰が報告したかは記載されていません。そのため、watchTowr が分析した脆弱性と CVE-2026-8452 が同一であることを Citrix が公式に確認した事実はありません。watchTowr 自身も、「メモリオーバーフロー」という説明から CVE-2026-8452 であると判断していると述べるにとどめています。

参考: You’re Back In The Room（watchTowr Labs）
“we believe this is CVE-2026-8452 given its description as a Memory Overflow vulnerability”
（メモリオーバーフローという説明から、これは CVE-2026-8452 であると考えている）
https://labs.watchtowr.com/youre-back-in-the-room-citrix-netscaler-pre-auth-rce-cve-2026-8452/

技術的な原因

防御側の判断に必要な範囲では、要点は次の 3 点です。

• SAML 署名の検証では、署名対象である SignedInfo 要素を先に正規化（canonicalization）する必要がある
• この正規化は署名検証より前に実行されるため、認証されていない相手から送られた XML が処理される
• 正規化の過程で InclusiveNamespaces 要素の PrefixList 属性の値が、サイズ検査を伴わずに固定長バッファへコピーされる

結果としてパケット処理エンジンである nsppe プロセスのメモリが破壊されます。nsppe はアプライアンスの通信全体を処理し、root 権限で動作するプロセスであるため、停止するとそのアプライアンスを経由する通信は止まります。watchTowr は検証環境でこのメモリ破壊から認証なしのコード実行まで到達し、Webshell を設置できることを示しました。

影響を受ける製品・バージョン・構成

対象バージョンと修正済みバージョン

CTX696604 では、13.1-FIPS / NDcPP の修正版が「影響を受けるバージョン」の節では 13.1-37.272、「What Customers Should Do」の節では 13.1.37.272 と表記が揺れています。同一のビルドを指していると読めますが、ダウンロード時は Citrix のダウンロードページで実際のビルド表記を確認することをおすすめします。

FIPS / NDcPP 系はリリースサイクルが通常ブランチと異なるため、通常ブランチの更新計画に含めたつもりで漏れやすい点も押さえておきたいところです。

12.1 / 13.0 を使用している場合

上記の表に 12.1 および 13.0 は含まれていませんが、対象表に掲載されていないことだけを根拠に「影響を受けない」「修正不要」と判断することはできません。Bishop Fox は、12.1 および 13.0 についてはサポート対象バージョンへの移行が必要であると説明しています。旧バージョンを使用している場合は、Citrix のライフサイクルとサポート情報を個別に確認することをおすすめします。

顧客管理環境とクラウドサービスの違い

CTX696604 の適用範囲は、管理主体によって次のように分かれます。

顧客管理の NetScaler ADC / NetScaler Gateway

CTX696604 が対象としている範囲です。修正済みバージョンへのアップグレードは利用者側の作業になります。

Citrix 管理のクラウドサービスおよび Citrix 管理の Adaptive Authentication

脆弱性修正のための NetScaler ソフトウェア更新を Citrix 側が実施します。

Secure Private Access Hybrid

顧客管理の NetScaler インスタンスを使用している場合は、影響を受けます。当該インスタンスを推奨ビルドへアップグレードする作業は利用者側で必要になります。

参考: NetScaler ADC and NetScaler Gateway Security Bulletin（CTX696604）
“This bulletin only applies to customer-managed NetScaler ADC and NetScaler Gateway.”
（この情報は顧客管理の NetScaler ADC および NetScaler Gateway にのみ適用されます）
https://support.citrix.com/external/article/CTX696604/netscaler-adc-and-netscaler-gateway-secu.html

「クラウドサービスを利用しているから対象外」と早合点しやすい部分なので、ハイブリッド構成の有無は個別に確認することをおすすめします。

構成上の前提条件

Citrix は、コンフィグ内に次の文字列が存在するかどうかで前提条件に該当するかを判断できるとしています。

add authentication vserver .*
add vpn vserver .*

前者は AAA 仮想サーバー（Auth Server）、後者は Gateway（VPN Vserver、ICA プロキシ、CVPN、RDP プロキシ）に対応します。

自環境への影響確認手順

次の順序で切り分けると、判断に必要な情報が過不足なく揃います。

show ns version

show ns runningConfig

show vpn vserver
show authentication vserver

show authentication samlAction
show authentication samlIdPProfile

show ns runningConfig | grep -i saml

修正済みバージョンへのアップグレード

基本方針

回避策については、Citrix と JPCERT/CC の記述が一致しています。

参考: NetScaler ADC および NetScaler Gateway におけるリモートコード実行につながる脆弱性（CVE-2026-8452）に関する注意喚起
「Cloud Software Groupは、本脆弱性に対する回避策を提供していません。」
https://www.jpcert.or.jp/at/2026/at260024.html

回避策が提供されていないため、対処は修正済みバージョンへのアップグレードが基本になります。公式の裏付けがない独自の緩和策を採用することは推奨しません。アクセス制限による一時的な露出低減は運用判断として成立し得ますが、脆弱性そのものは残るため、更新の代替にはなりません。

なお Bishop Fox は、修正が入った最小ビルド（13.1-63.18 / 14.1-72.61）にとどめず、各ブランチの最新ビルドまで進めることを推奨しています。Citrix がその後も追加の Advisory を公開しているためです。

show ha node

クレデンシャルを持たない資産の棚卸しには、Bishop Fox が公開している外形的なパッチ適用確認ツールという選択肢もあります。アプライアンスを停止させずに修正適用状態を判別する設計になっていますが、本番環境で外部から検証を行う場合は、事前に社内の実施承認を得ることをおすすめします。

侵害の有無を確認するポイント

JPCERT/CC は、watchTowr Labs が公開した PoC コードと技術情報に基づく調査項目を示しています。以下は、その内容に Bishop Fox が公開した観測結果を補足したものです。

ファイルシステム

想定していない PHP ファイルへのアクセスがないか、/var/vpn/theme/配下に不審なファイルが存在しないかを確認します。watchTowr の PoC では /var/vpn/theme/x.php に Webshell を設置します。ただし、実際の攻撃ではファイル名、ディレクトリ、ファイル内容が変更されている可能性があります。「x.phpが存在しないから侵害されていない」という判断は避け、当該ディレクトリ配下に想定外のファイルがないかという観点で確認することをおすすめします。

SAML 通信

SAML ACS（環境によっては /cgi/samlauth など）への POST リクエストについて、リクエストサイズが通常と比較して異常に大きくないかを確認します。あわせて、SAML Response 内に異常に長いデータが含まれていないか、特に SignedInfo 要素および InclusiveNamespaces 要素の PrefixList 属性に異常に長い値が含まれていないかを確認します。前段にリバースプロキシや WAF を置いている場合、そちらのアクセスログの方が調査しやすいケースがあります。

プロセスとログ

nsppeプロセスが異常終了、または短時間に再生成されている痕跡がないか、不審な SAML 通信の直後に nsppe のクラッシュ、再生成、PID の変化がないかを確認します。ns.logに nsppe のシグナル受信や pitboss によるプロセス異常終了の記録がないか、/var/core/配下に新しいコアダンプが生成されていないかも確認します。Bishop Fox は、コアダンプがブートごとのディレクトリに格納されるため、/var/core/1 のみを確認すると再起動後に生成されたファイルを見落とすと指摘しています。また ns.log はローテートされるため、アーカイブ済みのログも含めて検索することを推奨しています。

権限変更

/bin/shのパーミッションが変更されていないかを確認します。watchTowr の PoC には、Webshell を介して実行するコマンドの権限を昇格させるため、/bin/sh のパーミッションを変更する処理が含まれています。

再起動の有無だけで判断しない

nsppe がクラッシュした際、pitboss プロセスがアプライアンス全体を再起動する挙動があります。watchTowr はこの挙動を回避するため、シグナルハンドラーを無効化する処理を PoC に組み込んでいます。ここから「アプライアンス全体が再起動していれば攻撃失敗、プロセスのみ再生成されていれば攻撃成功」という判断基準を導きたくなります。

しかし Bishop Fox は、自社の検証環境において、明らかに失敗した攻撃試行でもアプライアンス全体は再起動せず nsppe のみが再生成されるケースを観測したと報告しています。同社は、再起動の有無ではなくファイルシステム上の痕跡をもとに判断すべきであるとしています。再起動したかどうかは、攻撃の成否を区別する材料になりません。

侵害が疑われる場合

外部公開環境で上記の痕跡が見つかった場合、アプライアンス単体の対処にとどめず、認証情報の失効やセッションの無効化を含めた対応範囲の検討が必要になります。NetScaler は内部ネットワークへの入口として機能するため、侵害が成立していた場合の影響は当該機器にとどまりません。

まとめ

CVE-2026-8452 は、2026 年 6 月 30 日に Citrix が公開し、2026 年 8 月 26 日に CISA KEV へ追加された NetScaler ADC / NetScaler Gateway の脆弱性です。Citrix 公式が示す前提条件と、研究者が示す到達条件は粒度が異なるため、二段階で確認すると判断を誤りにくくなります。回避策が提供されていない以上、修正済みバージョンへのアップグレードが実質的な唯一の対処になります。

• 対象は顧客管理の NetScaler と Secure Private Access Hybrid のインスタンス
• 修正済みは 14.1-72.61、13.1-63.18、14.1-72.61 FIPS、13.1-37.272 の各以降
• 第一段階は Gateway または AAA 仮想サーバー構成の有無を確認
• 第二段階は SAML の構成と仮想サーバーへのバインド状況を確認
• SAML がなくても Citrix の対象条件に該当すれば更新対象
• CISA が確認したのは実悪用の事実のみで、攻撃経路は非公開
• 外部公開環境では /var/vpn/theme/ 配下と nsppe の挙動を確認

以上、最後までお読みいただきありがとうございました。