NetScalerの既定構成にも深刻な脆弱性｜系列別の更新先とICA切断に注意

Cloud Software Groupは2026年11月12日、NetScaler ADCとNetScaler Gatewayの複数の脆弱性に対応する更新を公表しました。特にCVE-2026-120868は追加機能を使わない既定構成も対象です。自社管理の機器を使ってWebアプリを公開したり、VPNや認証を提供したりしている組織は、機能の利用有無だけで対象外と判断せず、系列に合う修正版へ更新する必要があります。

通常系列の更新先は14.1-73.57以降、13.1-64.39以降です。FIPS・NDcPPは別のビルド番号になります。更新で既存ICAセッションが切断される点も公式FAQで示されており、利用者への案内と再接続確認を含めて作業を計画してください。本稿は11月13日に確認した開発元勧告CTX697305と公式FAQ、公的機関の勧告に基づく更新ニュースです。

既定構成も影響する問題とGateway固有の問題

CVE-2026-120868はパケット処理のメモリオーバーフローで、開発元は予測不能な動作、誤動作、サービス運用妨害（DoS）につながると説明しています。NetScaler ADC／Gatewayの全展開が前提条件に含まれ、特別な機能の有効化は不要です。CVSS v4.0はこのCVEについて9.3であり、認証や利用者操作を必要としない評価です。

もう一つ優先して確認したいCVE-2026-107412は、SSL VPN、ICA Proxy、CVPN、RDP Proxyとして動くGateway、またはAAA仮想サーバーを持つ構成が対象です。開発元の説明は複数のメモリオーバーフローによる予測不能な動作とDoSで、CVSS v4.0は9.5です。9.3と9.5はそれぞれ異なるCVEの値であり、今回の更新全体を一つのスコアで表したものではありません。

深刻度が高いことと、確認済みの攻撃手法は分けて読む必要があります。CERT-EUの勧告2026-020も、機密性・完全性・可用性への高い影響を持つ評価が含まれる一方、開発元が記載する影響は予測不能な動作やDoSであると整理しています。本稿では、公開資料だけから任意コード実行が実証されたとは扱いません。

通常版とFIPS版で異なる更新先

導入系列	開発元が示す修正済みビルド
NetScaler ADC／Gateway 14.1	14.1-73.57以降
NetScaler ADC／Gateway 13.1	13.1-64.39以降の13.1
NetScaler ADC 14.1-FIPS	14.1-73.58 FIPS以降
NetScaler ADC 13.1-FIPS／13.1-NDcPP	13.1-37.293以降の該当系列

確認する単位は製品名だけでなく、系列と完全なビルド番号です。「14.1だから新しい」「通常版と同じ番号だからFIPSも修正済み」といった判断は避けます。機器の資産台帳、稼働状態、管理画面に表示される版を照合し、実際にトラフィックを処理する各ノードを記録してください。表にない旧系列を、この勧告の修正済み系列と同じ条件で安全と推測してはいけません。

上記はADC／Gatewayの更新先です。NetScaler Consoleにも同時に別の勧告が出ていますが、Consoleの更新だけでADC側が修正されたことにはなりません。運用委託やマネージドサービスを利用している場合も、誰がどの機器を更新する契約なのか、対象ビルドの稼働確認を誰が返すのかまで確認することが重要です。

機能別の点検は更新の優先順位に使う

個別CVEの前提条件は、緊急度や作業後の確認範囲を絞る助けになります。Gateway／AAAのほか、SAML、WebAuth、Email OTP、クライアント証明書認証、DNS／DoH、HTTP/2、HTTP/3、AppFWなどに依存する問題があります。ただし、CVE-2026-120868は追加機能不要です。ほかの条件に該当しないことを確認しても、全体の更新を見送る根拠にはできません。

構成	点検する対象の例
Gateway／AAA	VPN仮想サーバー、認証仮想サーバーの定義と公開範囲
SAML・WebAuth・Email OTP	認証アクションが設定された経路と関連するログイン試験
HTTP/2	HTTPプロファイルの有効化状態と、そのプロファイルを使う仮想サーバー
HTTP/3	HTTP_QUIC型のLB／CS仮想サーバー
管理プレーン	信頼しないホストからNSIP／NSIP6へ到達できる経路

開発元勧告は、Gatewayであれば設定内の「add vpn vserver」、AAAであれば「add authentication vserver」に相当する定義を調べる方法を示しています。これらは設定を探すためのパターンであり、実行して追加するコマンドではありません。現行設定を参照し、該当する仮想サーバーと担当業務を結び付けて確認します。

HTTP/2はプロファイルだけを見て終えないことが大切です。有効なプロファイルがある場合は、それを参照するLB、CS、VPN仮想サーバーを確認し、既定プロファイルが使われる経路も含めます。明示的なプロファイル名の指定がないからHTTP/2を使っていない、とは限りません。一方、機能停止を試すために認証方式や公開経路を無計画に変えると業務停止を招くため、設定変更は影響を評価して行います。

先に公開GatewayとAAAを更新する

CERT-EUは、影響する自社管理機器を更新し、特にインターネットに面したGatewayとAAAを優先するよう勧めています。Web運用担当者は、Webアプリ本体のパッチ管理と別に、その入口でTLS終端、負荷分散、認証を担当するNetScalerがないかを確認してください。アプリの応答が正常であることだけでは、入口機器の修正状態は判断できません。

本サイトの運用上の提案として、公開IP・仮想サーバー・背後のサービス・保守担当・稼働ビルドを一つの作業票にまとめます。冗長構成では、片側だけの更新や待機系の取り残しを防ぐため、ノードごとに開始前と完了後の版を記録します。切り替えや更新の具体的な操作は、機種と構成に対応した開発元の手順へ従い、本稿の表だけで実施しないでください。

ICA切断とConsoleの更新順を事前に確認する

Citrixの公式FAQでは、更新後に既存ICAセッションが終了し、再度開始する必要があると説明されています。業務時間中に利用している仮想アプリやデスクトップがある場合は、保存中の作業、再接続方法、利用者への連絡を含めて保守時間を決めます。これは侵害の有無ではなく、更新に伴う業務影響として準備すべき事項です。

同じFAQが示す順序はNetScaler／NetScaler Gatewayを先に、NetScaler Consoleを後に更新するものです。ConsoleベースのPooled／Flexedライセンスで、LAS非対応の旧ビルドから移行する場合は、旧ファイル型ライセンスのまま延長措置を申請していないと更新がブロックされる条件も説明されています。該当環境は保守窓に入ってから判明することを避け、ATSやパートナーへ適用条件を確認してください。

Citrix管理のクラウドサービスについては、今回のリリースに含まれるSecure Private Access、Gateway Service、Adaptive Auth、NetScaler Console Serviceを更新済みと公式発表しています。この説明を、利用企業が自ら管理するADCやGatewayまで更新済みという意味に広げないでください。クラウドサービスと自社管理機器を併用する構成では、後者の作業が残ります。

更新後は版と利用経路の両方を確かめる

完了判定は、ダウンロードや更新ジョブの成功表示だけで終えず、稼働中の全対象ノードが修正ビルドになったことを確認します。その後、通常利用するURL、認証、VPN、ICA再接続、バックエンドへの振り分けなど、変更前に使っていた経路で業務試験を行います。これらは本サイトの運用提案であり、脆弱性を再現する攻撃試験ではありません。

異常があれば、どの仮想サーバー、認証アクション、プロファイルで起きたかを、更新時刻や切り替え時刻とともに記録します。更新前の障害と更新後の互換性問題を混同しないためにも、作業開始前の状態を残すと切り分けやすくなります。旧版への復帰が必要な場合は、脆弱性を再び残す判断になるため、到達制限や停止を含めて責任者と評価し、開発元・保守先へ相談します。

外部の保守会社に任せている場合は、「更新済み」という回答に加え、製品系列、完全なビルド番号、対象ノード、確認日時を受け取ると完了条件を共有しやすくなります。公開サービスの責任者は、認証や負荷分散の担当が別部門でも、業務試験の結果まで作業票へひも付けてください。

悪用情報の有無と安全確認を分ける

11月12日付の公式FAQは、公表時点で未緩和のエクスプロイトを認識していないとして、今回の脆弱性のIoCを公開していません。CERT-EUも悪用報告や確認済みの公開PoCがない状況を説明しています。これは将来の悪用を否定する保証でも、個々の機器が侵害されていない証明でもありません。特定のログ文字列がないことだけで安全と判定する手順は、本資料からは作れません。

今回優先するのは、既定構成も含む対象の把握、系列ごとの修正ビルドへの更新、公開Gateway／AAAからの着手、そしてICA切断やConsoleのライセンス条件を踏まえた作業です。機能別の設定点検は対応範囲を整理するために使い、更新を不要とする確認に置き換えないことが、Webサービスと認証基盤を維持する上での要点です。