Citrix NetScaler ADC/Gateway のメモリオーバーフロー欠陥（CVSS 9.8・CISA KEV 収載・是正期限 2026-08-29）

Critical（CVSS 9.8）に分類されるCitrix (Cloud Software Group) NetScaler ADC / NetScaler Gateway 14.1-72.61 以前・13.1-63.18 以前（FIPS/NDcPP 含む）の脆弱性です。Citrix が 2026年7月に公表した NetScaler ADC/Gateway のセキュリティ速報で修正された6件（CVE-2026-8451 / 8452 / 8655 / 10816 / 10817 / 13474）のうち、影響の大きいメモリオーバーフロー欠陥。CVE-2026-8452 は NetScaler を Gateway（SSL VPN・ICA Proxy・CVPN・RDP Proxy）または AAA 仮想サーバとして構成している場合に成立し、境界外のメモリ操作によって装置が予期しない動作やサービス停止（DoS）を起こす。同じ速報の CVE-2026-8655 は、ロードバランサ種別 Oracle・DNS プロキシ・再帰 DNS リゾルバとして構成している場合に複数のメモリオーバーフローが起きるもので、こちらも異常動作・DoS につながる。 2026年8月26日、本件は CISA の Known Exploited Vulnerabilities カタログに収載された。**是正期限は 2026年8月29日**で、収載から3日というきわめて短い設定になっている。KEV 収載は「実際に悪用が確認された」という判断が付いたことを意味するので、この時点で優先度は「速報のうちの1件」から「期限付きの必須対応」に変わっている。KEV の要求対応はベンダーの手順に従った適用で、CISA BOD 26-04 の優先順位付けとフォレンジック・トリアージ要件への準拠も併せて求められている。ランサムウェアでの悪用については KEV の該当欄が Unknown で、確認されているとも確認されていないとも言えない。 CVSS 基本値は NVD の評価で 9.8（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H、CWE-119）。ベクタは機密性・完全性・可用性のすべてに高い影響を付けているが、NVD の説明文と KEV の概要が実際に述べている結末はサービス拒否である。任意コード実行が確認されたとは、どちらの公開情報にも書かれていない。ただし認証前・ネットワーク経由・利用者操作不要で成立し、対象が境界に置かれる機器であるため、落ちれば社外からの VPN 接続と仮想デスクトップ接続がまとめて止まる。 影響を受けるのは 14.1-72.61 より前と 13.1-63.18 より前のビルド（FIPS・NDcPP 派生は 13.1-37.272 より前）。14.1 系の FIPS は 14.1-66.68 が個別に名指しされている。すでに End of Life の 12.1 / 13.0 系は修正対象外で、これらは製品の入れ替えが必要になる。

**2026年8月29日が CISA KEV の是正期限**である。残り時間が短いので、判定から先に終わらせる。 まず自組織の NetScaler が Gateway（SSL VPN / ICA Proxy / CVPN / RDP Proxy）・AAA 仮想サーバ・Oracle 型ロードバランサ・DNS プロキシ／再帰リゾルバのいずれかで構成されていないかを確認する。これらの構成が今回の欠陥の発火条件で、Gateway/AAA はインターネットに露出しているのが通常なので優先度が高い。装置があるだけでは該当しないため、show ns version で版数を、show vpn vserver と show authentication vserver で構成を見て、両方が当てはまる機器だけを対象に絞る。 対処は固定版への更新に一本化する。14.1 系は 14.1-72.61 以降、13.1 系は 13.1-63.18 以降、FIPS/NDcPP 系は 13.1-37.272 以降へ上げる。回避策（構成変更で発火条件を外す）だけで済ませようとすると、同じ速報に含まれる他の欠陥が残るため、まとめて更新するのがよい。期限に間に合わない場合は、使っていない Gateway/AAA 仮想サーバの無効化と上位ファイアウォールでの到達元制限を先に入れ、適用日を決めて記録に残す。**緩和策を入れたことを「対応済み」と記録しない。** 主たる影響が DoS である以上、痕跡として探すのは侵入の証拠よりまず異常終了と再起動である。/var/core/ のコアダンプと /var/log/ns.log の crash/restart を、少なくとも KEV 追加日である 2026年8月26日より前まで遡って確認する。更新してしまうと再現確認ができなくなるので、ログとコアダンプは適用前に退避しておく。 すでに EoL の 12.1 / 13.0 を使っている場合は今回の修正が提供されないため、サポート対象バージョンへの移行そのものが対処になる。更新の前後で HA ペアの両系を揃えること、NetScaler をクラウド（AWS/Azure/GCP のマーケットプレイス VM）で動かしている場合はそのイメージ／インスタンスも同様に更新することを忘れない。

Citrix (Cloud Software Group) NetScaler ADC / NetScaler Gateway 14.1-72.61 以前・13.1-63.18 以前（FIPS/NDcPP 含む） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-8452）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/08/29 です。早急な対応が推奨されます。