CyberSecurityAction

脆弱性情報

続報: Citrix NetScaler RCE（CVE-2026-8452）にCISA緊急命令——連邦機関は本日中にパッチ適用義務

watchTowr LabsがPoC（Webshell設置）を公開後、CISAが米連邦機関に2026年8月29日までのパッチ適用を命令。SAML構成のNetScalerは認証なしでリモートコード実行が可能。日本国内での広範な利用が確認されており、即時対応が求められる。

喜村 圭佑（編集責任者）更新 約6分

SHARE

XB!in
続報: Citrix NetScaler RCE（CVE-2026-8452）にCISA緊急命令——連邦機関は本日中にパッチ適用義務

THREAT GAUGE算出基準

IMPACT（影響範囲）9.0
URGENCY（対応緊急度）9.5
EXPLOIT（悪用の容易さ）9.0

“PoC公開済み・CISA緊急命令・SAML構成で認証不要RCE”

01 · Overview

ニュースの概要

Citrix NetScaler ADCおよびNetScaler Gatewayに存在するヒープベースのバッファオーバーフロー脆弱性（CVE-2026-8452）について、米国CISAは2026年8月27日、米連邦機関に対して本日2026年8月29日（土）までのパッチ適用を義務付ける緊急命令を発出した。セキュリティ研究機関watchTowr Labsが概念実証（PoC）コードを公開しており、Webshellの設置が可能な状態であるため、日本国内でNetScalerを運用する組織は即時対応が必要である。

本脆弱性は、2026年6月30日にCloud Software GroupがDoS・不審動作リスクとして公表したCVE-2026-8452に関連する。watchTowr Labsは8月14日の詳細分析で、NetScaler ADCまたはNetScaler GatewayがSAML SPまたはIdPとして構成されている場合に、認証なしでリモートコード実行が可能であることを明らかにし、その後WebshellをアップロードできるPoCコードを公開した。

対象バージョンはNetScaler ADC/Gateway 14.1-72.61未満（バージョン14系）、13.1-63.18未満（バージョン13系）、FIPS版13.1-37.272未満など。Cloud Software Groupは修正済みバージョンへのアップグレードを推奨しており、回避策は提供されていない。

JPCERT/CCは2026年8月15日時点では悪用の証拠を確認していないとしていたが、CISAの緊急命令はその後に発出されており、実際の攻撃が確認または差し迫った段階にあることを示唆する。NetScaler ADC/Gatewayは日本のエンタープライズ環境でSSL-VPNやAAA認証基盤として広く利用されており、JPCERT/CCも国内での広範な利用を確認している。

CVE番号
CVE-2026-8452
脆弱性種別
ヒープベースバッファオーバーフロー
影響製品
NetScaler ADC / Gateway
悪用条件
SAML SP/IdP構成・認証不要
PoC状況
watchTowr Labsが公開済み
修正状況
14.1-72.61 / 13.1-63.18で修正済み

JPCERT/CC注意喚起（AT-2026-0024）は8/15公開。CISAの緊急命令は8/27発出。実際の悪用状況は調査継続中。

02 · Analysis

詳細な原因解説

CVE-2026-8452の根本原因は、NetScaler ADC/GatewayのSAML認証処理に存在するヒープベースのバッファオーバーフローである。SAML（Security Assertion Markup Language）は認証情報をXML形式で交換するプロトコルであり、NetScalerがSAML SPまたはIdPとして動作する際に、SAMLレスポンスの`SignedInfo`要素や`InclusiveNamespaces`要素の`PrefixList`属性に含まれるデータを処理する過程で、異常に長い入力値を適切にバリデーションしないままヒープ領域に書き込む。

この脆弱性は認証前に悪用可能（pre-auth）であるため、攻撃者は有効なユーザー資格情報を持たずに攻撃を実行できる。watchTowr LabsのPoCでは、SAML ACSエンドポイント（`/cgi/samlauth`等）へ細工されたSAMLレスポンスをPOSTリクエストで送信し、ヒープ破壊を通じて任意のPHPファイル（Webshell）を`/var/vpn/theme/`配下に設置することが実証されている。

影響が広範になる構造的理由として、NetScaler ADC/GatewayはVPN・リモートアクセス・SSO基盤として企業の境界に配置されるケースが多く、インターネットに直接公開された状態で運用されることが多い。SAML構成はSSOやゼロトラスト環境で一般的なため、対象となる環境の割合が高い。さらに、悪用に成功したWebshellは`nsppe`プロセスのクラッシュ・再起動を経て設置されるため、ログ証跡が断片化しやすく、侵害発覚が遅れるリスクがある。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

攻撃キルチェーンで見るNetScaler侵害

Q. 攻撃者はNetScaler経由でどの段階まで侵害を拡大できるか？

偵察フェーズ：インターネット上のNetScalerアプライアンスはShodanやCensysで容易に発見できる。武器化フェーズ：watchTowr LabsのPoCが公開済みであり、スクリプトキディを含む幅広い攻撃者が利用可能な状態にある。配送・エクスプロイトフェーズ：SAML ACSエンドポイントへの単一のHTTPリクエストで脆弱性を発動できる。インストールフェーズ：PoCはWebshellを`/var/vpn/theme/`に設置し、以降の任意コマンド実行を可能にする。コマンド&コントロール・目的達成フェーズ：NetScalerはVPN/SSO基盤であるため、内部ネットワークへのピボットポイント、内部ユーザーの認証情報窃取、Active DirectoryやIdPへの横断移動が想定される。

ゲートウェイ製品の構造的リスク

Q. なぜNetScalerのような境界デバイスへの攻撃が継続するのか？

NetScalerのようなSSL-VPNやゲートウェイ製品は、「インターネット公開×高権限×多数のプロトコル処理」という3つのリスク要因が重なる構造を持つ。これらの製品はゼロトラスト移行の過渡期においても不可欠な存在として残存しており、エンタープライズネットワークの入口として攻撃者の主要ターゲットとなる。パッチ適用サイクルが遅い（変更管理・可用性要件によるメンテナンスウィンドウの制約）ことも脆弱な状態が長引く要因である。Fortinet FortiGate、Ivanti Connect Secure、Citrix NetScalerは近年繰り返し重大脆弱性の標的となっており、同一カテゴリ製品が連続して狙われる「ゲートウェイ製品集中攻撃」のパターンが確立している。

優先すべき防御行動とその判断根拠

最優先はアップグレードである。回避策が存在しない点、およびPoC公開済みで攻撃の敷居が低い点から、パッチ適用が唯一の根本的対策となる。業務継続性のために即時適用が困難な環境では、SAML設定の無効化またはSAMLエンドポイントへの外部アクセス遮断を暫定措置として実施する。

次に侵害の有無を確認する。PoC公開前（2026年8月14日以前）に遡ったログ調査が重要であり、特に`nsppe`の異常終了ログとSAMLエンドポイントへの大容量POSTを確認する。Webshellが設置されていた場合、インターネットへの外部通信ログも精査し、C2通信や内部ネットワークへの横断移動の痕跡を調査する。

06 · AI Prompt

AI対策プロンプト

あなたは[組織名]（業種：[業種]）のIT管理者です。Citrix NetScaler ADC/GatewayのCVE-2026-8452（ヒープベースバッファオーバーフロー）について、以下の観点でセキュリティ対応計画を作成してください。1) 自組織のNetScalerバージョンと構成（SAML SP/IdP利用有無）の棚卸し手順、2) 緊急パッチ適用の変更管理手順と承認フロー、3) パッチ適用前の暫定防御措置（ファイアウォールルール案）、4) 過去30日分のログを用いた侵害調査チェックリスト。出力は社内の非セキュリティ専門者にも理解できる日本語で作成してください。

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

自組織の正式名称または略称

自組織の主な事業領域

キーワード

  • CVE-2026-8452
  • Citrix NetScaler
  • ヒープバッファオーバーフロー
  • SAML認証バイパス
  • CISA緊急命令

SOURCES · 参考情報源