Citrix NetScaler ADC/Gateway に複数のメモリオーバーフロー欠陥（CVSS 8.8・Gateway/AAA構成で異常動作・DoS）

Critical（CVSS 9.8）に分類されるCitrix (Cloud Software Group) NetScaler ADC / NetScaler Gateway 14.1-72.61 以前・13.1-63.18 以前（FIPS/NDcPP 含む）の脆弱性です。Citrix が 2026年7月に公表した NetScaler ADC/Gateway のセキュリティ速報で修正された6件（CVE-2026-8451 / 8452 / 8655 / 10816 / 10817 / 13474）のうち、影響の大きいメモリオーバーフロー欠陥。CVE-2026-8452 は NetScaler を Gateway（SSL VPN・ICA Proxy・CVPN・RDP Proxy）または AAA 仮想サーバとして構成している場合に成立し、境界外のメモリ操作によって装置が予期しない動作やサービス停止（DoS）を起こす。同じ速報の CVE-2026-8655 は、ロードバランサ種別 Oracle・DNS プロキシ・再帰 DNS リゾルバとして構成している場合に複数のメモリオーバーフローが起きるもので、こちらも異常動作・DoS につながる。 CVSS 基本値はベンダー（CNA）評価で 8.8。NVD の自動採点では 9.8 が付いているが、実際の主たる影響は可用性（クラッシュ・不安定化）で、任意コード実行が確認された欠陥ではない。とはいえ NetScaler の外部公開機器は過去に何度も実際の攻撃対象になってきた位置にあり、Gateway/AAA は定義上インターネットへ露出する。速報には情報漏えい（ファイル読み取り）系の欠陥も含まれるため、6件まとめて早期に適用する前提で扱うのが安全である。 影響を受けるのは 14.1-72.61 より前と 13.1-63.18 より前のビルド（FIPS・NDcPP 派生を含む）。すでに End of Life の 12.1 / 13.0 系は修正対象外で、これらは製品の入れ替えが必要になる。

まず自組織の NetScaler が Gateway（SSL VPN / ICA Proxy / CVPN / RDP Proxy）・AAA 仮想サーバ・Oracle 型ロードバランサ・DNS プロキシ／再帰リゾルバのいずれかで構成されていないかを確認する。これらの構成が今回の欠陥の発火条件で、Gateway/AAA はインターネットに露出しているのが通常なので優先度が高い。 対処は固定版への更新に一本化する。14.1 系は 14.1-72.61 以降、13.1 系は 13.1-63.18 以降へ上げる（FIPS/NDcPP を使っている場合はそれぞれの対応ビルドへ）。回避策（構成変更で発火条件を外す）だけで済ませようとすると、同じ速報に含まれる他の欠陥が残るため、まとめて更新するのがよい。 すでに EoL の 12.1 / 13.0 を使っている場合は今回の修正が提供されないため、サポート対象バージョンへの移行そのものが対処になる。更新の前後で HA ペアの両系を揃えること、NetScaler をクラウド（AWS/Azure/GCP のマーケットプレイス VM）で動かしている場合はそのイメージ／インスタンスも同様に更新することを忘れない。

Citrix (Cloud Software Group) NetScaler ADC / NetScaler Gateway 14.1-72.61 以前・13.1-63.18 以前（FIPS/NDcPP 含む） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-8452）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。