米サイバーセキュリティ・インフラセキュリティ庁(CISA)は、実際に悪用が確認されているCitrix NetScalerアプライアンスの脆弱性について、土曜日までにパッチを適用するよう政府機関に命じました。
CVE-2026-8452として追跡されているこの深刻度の高い脆弱性は、Gateway VPNまたはAAA(Authentication, Authorization, and Auditing)仮想サーバーを構成したNetScaler ADCおよびNetScaler Gatewayアプライアンスに影響するメモリオーバーフローの欠陥に起因します。
Citrixは6月の時点では、脅威アクターがサービス拒否(DoS)攻撃にしかこの脆弱性を悪用できないとしていましたが、サイバーセキュリティ企業watchTowrは8月、悪用に成功すれば攻撃者が未パッチのNetScalerインスタンス上でroot権限でのリモートコード実行も可能になることを示しました。
「これはメモリオーバーフローの脆弱性であり、予測不能な動作やサービス拒否につながる可能性があり、NetScaler GatewayまたはAAA仮想サーバーに影響します」とCitrixは当時述べていました。「現時点で、この脆弱性の未緩和状態での悪用は確認されていません」
現在のところ、インターネットの脅威監視団体Shadowserverは22,000台超のNetScaler ADCアプライアンスと1,800台近いGatewayインスタンスがオンライン上で公開されていることを確認しています。
ただし、そのうちどれだけがハニーポットなのか、脆弱な構成のままなのか、あるいは既にパッチ適用済みなのかについての情報はありません。
CISAは月曜日、CVE-2026-8452の脆弱性を追加し、既知の悪用された脆弱性(KEV)カタログに載せました。これにより、拘束力のある運用指令(BOD)26-04に基づき、連邦民間行政機関(FCEB)は8月29日までに脆弱なCitrixアプライアンスすべてを保護するよう義務付けられました。
CISAは現在CVE-2026-8452の脆弱性を標的とする攻撃の詳細については明らかにしていませんが、この警告はセキュリティ研究者やサイバーセキュリティ専門家が、この脆弱性が侵害されたアプライアンスにWebシェルを展開する「バラマキ型」攻撃で実際に悪用されていると指摘してから1週間後に出されたものです。
Citrixは、CVE-2026-8452の脆弱性に関するセキュリティアドバイザリについて、実際に悪用の標的となっていることを認める更新をまだ行っていません。
1週間前には、同社はリモートの未認証攻撃者がDoS攻撃や認証バイパスに悪用可能な、CVE-2026-19490およびCVE-2026-19489として追跡されている他の2件のNetScaler脆弱性についても、顧客に対して直ちにシステムを保護するよう呼びかけていました。
これら2件の脆弱性は実際の悪用が確認されているわけではありませんが、Citrixは3月にも他の2件のNetScaler脆弱性(CVE-2026-3055およびCVE-2026-4368)について、脅威アクターが悪用を開始する数日前に管理者にパッチ適用を求めていました。
米サイバーセキュリティ機関は2021年11月以降、Citrixの脆弱性23件を実際に悪用されたものとして指定しており、そのうち7件はランサムウェアギャングにも悪用されています。
