Citrixの「NetScaler ADC」「NetScaler Gateway」に高深刻度のメモリ脆弱性、米CISAが悪用確認リストに追加

要点

• Citrixの「NetScaler ADC」および「NetScaler Gateway」に、メモリバッファ制限不備の脆弱性（CVE-2026-8452）が判明した。

• ゲートウェイやAAA仮想サーバーとして稼働している場合、遠隔から予期せぬ動作やサービス妨害（DoS）を引き起こされる恐れがある。

• CVSS v4.0の基本スコアは「8.8」（High）と評価され、認証不要で悪用可能な状態となっている。

• 米CISAは悪用が確認された脆弱性カタログ（KEV）に追加し、2026年8月29日までの対処を求めている。

• 14.1系および13.1系が影響対象となっており、修正パッチが提供されている。

• 米国立標準技術研究所（NIST）の脆弱性データベース（NVD）の公開情報によると、Citrix（NetScaler）のネットワーク製品「NetScaler ADC」および「NetScaler Gateway」において深刻なメモリ関連の脆弱性（CVE-2026-8452）が確認された。米サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年8月26日、本脆弱性を「悪用が確認された脆弱性カタログ（KEV）」に追加したと発表している。CVSS v4.0による基本スコアは「8.8」の高深刻度と判定されており、迅速な対応が求められる事態となっている。

脆弱性の概要と影響を受ける構成

本脆弱性は、メモリバッファ境界内の操作制限不備（CWE-119）に起因するメモリオバーフローの欠陥だ。アプライアンスが特定の機能で構成されている場合に影響を受け、予期しない動作や誤作動、サービス妨害（DoS：システムを停止させて利用不能にする状態）が引き起こされる恐れがある。

元記事によると、影響を受けるのは機器が以下の機能として構成されている場合とされている。

• ゲートウェイ機能: SSL VPN、ICA Proxy、CVPN、RDP Proxyなどの各種プロキシ
• AAA仮想サーバー: 認証・認可・アカウンティング（AAA）を処理するサーバー

これらの機能が有効な環境では、外部からの処理要求によりメモリ不整合が生じ、システムの異常や停止につながるという。

CVSS v4.0スコア「8.8」：認証不要で遠隔攻撃が可能

深刻度について、CVE採番機関（CNA）であるNetScalerはCVSS v4.0の基本スコアを「8.8（HIGH）」と算定した。

評価ベクトルの内容によると、攻撃元区分はネットワーク（AV:N）、攻撃の複雑さは低く（AC:L）、前提条件も不要（AT:N）とされている。さらに事前の認証（PR:N）や利用者の関与（UI:N）も必要としない。

影響度としては、脆弱なシステムに対する機密性（VC:H）と可用性（VA:H）への影響が高く、完全性（VI:L）への影響は低いと評価されている。後続システムへの影響（SC/SI/SA）はいずれも低い。遠隔の第三者が認証なしで悪用し、停止や機密漏洩を招く危険性がある。なお、NIST（NVD）による詳細評価は現時点で未提供（N/A）となっている。

米CISAがKEVカタログに追加、8月29日までの対応を指示

米CISAは2026年8月26日、本脆弱性を「悪用が確認された脆弱性カタログ（KEV）」へ登録した。これにより米国の拘束的運用指令（BOD 22-01）に基づき、連邦政府機関等に対して対応義務が生じている。

設定された対応期日（Due Date）は2026年8月29日で、登録からわずか3日間の迅速な措置が求められている。CISAは、ベンダー指示に基づく緩和策適用、リスクベース更新指針（BOD 26-04）やフォレンジックトリアージ要件の遵守、クラウドサービス向けガイダンスの遵守、緩和策が利用できない場合の使用停止、資産の露出状況評価などを指示している。

影響を受ける製品と対象バージョン

NetScalerおよびNVDの公開情報によると、影響対象と修正パッチの境界は以下の通りである。

• NetScaler ADC: 14.1系（14.1-72.61未満）、13.1系（13.1-63.18未満）、14.1 FIPSモデル（14.1-72.61未満、14.1-66.68を含む）、13.1 FIPSおよびNDcPPモデル（13.1-37.272未満）
• NetScaler Gateway: 14.1系（14.1-72.61未満）、13.1系（13.1-63.18未満）

詳細なアドバイザリとして、Citrixのサポート記事「CTX696604」が案内されている。

登録と更新の経緯

NVDの記録によると、本CVEレコード（CVE-2026-8452）の初期公開日は2026年6月30日であり、2026年8月26日に最新の更新が行われた。弱点分類としては、CISA-ADPによって「CWE-119（メモリバッファの境界内操作の不適切な制限）」が割り当てられている。