CISAは、既知の悪用された脆弱性(KEV)カタログに6件の新たな脆弱性を追加しました。その中には、以前パッチが適用されていたCitrix NetScaler ADCおよびGatewayの脆弱性で、CVE-2026-8452として追跡されているものが含まれており、この脆弱性は実際の攻撃で悪用されています。
同機関は8月26日にアラートを公開し、連邦政府機関に対して8月29日までの修復を求めています。
CVE-2026-8452について
Citrixは2026年6月30日にこの問題を公表し、CVE-2026-8452について「予測不能または誤った動作、およびサービス拒否につながるメモリオーバーフローの脆弱性」であると説明しています。
パッチは同日、バージョン14.1-72.61、13.1-63.18、13.1-37.272として提供されました。この脆弱性は、アプライアンスがSSL VPN、ICA Proxy、CVPN、RDP Proxyを含むGatewayとして構成されている場合、あるいはAAA仮想サーバーとして構成されている場合に発生します。
Citrixは「この脆弱性は、当社が継続的に実施している内部製品セキュリティ強化の取り組みの一環として発見されました」と述べ、当時は緩和されていない状態での悪用は確認していなかったと付け加えています。
watchTowr Labsの研究者らはこのパッチを分析し、Citrixが説明していたサービス拒否をはるかに超えて、この脆弱性が認証不要の完全なリモートコード実行に連鎖しうることを発見しました。8月14日、同社は技術的な詳細解説と実証コード(PoC)の両方を公開しています。
この解説が公開されて間もなく、攻撃者による脆弱性の悪用が始まりました。脅威インテリジェンス企業のDefusedは、自社のEX顧客センサーで最初の攻撃を確認したと発表しています。
セキュリティ企業Previdianは、LinkedInで「今朝、CVE-2026-8452(Citrix NetScaler PreAuthRCE)の悪用を確認し始めました」と投稿しています。
同社によると、攻撃者は「x.php」「z.php」という名前のWebシェルを設置し、「id」や「echo」といった調査用コマンドを実行して、侵害したシステムの状況を把握しようとしていたとのことです。
Previdianはさらに、「これまでのところ、3つの異なる国からの3つの固有IPを確認しています」と付け加えています。
なお、Citrix自身のアドバイザリは、実際の攻撃での悪用を確認する内容にはまだ更新されていません。
残る5件の脆弱性は、新旧さまざまなソフトウェアにまたがっています。内訳は、Red Hatの脆弱性2件(CVE-2015-3246およびCVE-2015-5287)、Microsoft SQL Serverのバグ(CVE-2019-1068)、Ajax.NETのデシリアライゼーションの脆弱性(CVE-2021-23758)、Linuxカーネルの脆弱性(CVE-2022-0995)です。
翻訳元: https://www.helpnetsecurity.com/2026/08/27/netscaler-adc-gateway-cve-2026-8452/
