Citrixは10月8日、リモートコード実行やサービス拒否（DoS）を引き起こす可能性がある重大な脆弱性について、NetScalerの管理者に修正プログラムの適用を促すセキュリティ情報を公開しました。「CVE-2026-107406」として追跡されているこの脆弱性は、CVSS v4.0のスコアが9.5です。
すべてのNetScaler機器が危険にさらされるわけではありません。影響を受けるのは、Security Assertion Markup Language（SAML）認証を処理するよう構成された、NetScaler ADCおよびNetScaler Gatewayの特定のビルドです。Citrixはこの脆弱性が悪用されたとは報告していませんが、今回の公表は、NetScalerで悪用された複数の脆弱性に続くものです。セキュリティチームにとって、まず必要なのは、該当するバージョンと認証上の役割を特定し、リスクを解消することです。
CVE-2026-107406の影響を受けるのは誰か
Citrixは、このメモリオーバーフローをCWE-119に分類しています。古い影響対象ビルドは、SAMLのサービスプロバイダー（SP）またはIDプロバイダー（IdP）のいずれかとして構成されている場合に影響を受けます。比較的新しい一部のビルドでは、IdPとして構成されている場合にのみ脆弱です。
同社のセキュリティ情報では、影響を受けるビルドと利用可能な修正版が次のように示されています。
|
製品 |
影響を受けるビルドとSAMLの役割 |
修正ビルド |
|
NetScaler ADC/Gateway 14.1 |
14.1-73.37より前：SPまたはIdP。14.1-73.37～14.1-73.41：IdPのみ |
14.1-73.46以降 |
|
NetScaler ADC/Gateway 13.1 |
13.1-64.23より前：SPまたはIdP。13.1-64.23～13.1-64.28：IdPのみ |
13.1-64.29以降 |
|
NetScaler ADC 14.1-FIPS |
14.1-73.37 FIPSより前：SPまたはIdP。14.1-73.37～14.1-73.41 FIPS（両端を含む）：IdPのみ |
14.1-73.46 FIPS以降 |
|
NetScaler ADC 13.1-FIPS/NDcPP |
13.1-37.279より前：SPまたはIdP。13.1-37.279～13.1-37.282（両端を含む）：IdPのみ。エディションごとの該当性については、Citrixのアドバイザリで確認してください |
13.1.37.283以降 |
影響を受けるNetScalerインスタンスを使用しているSecure Private Access Hybridの環境も、アップデートが必要です。
管理者は、add authentication samlAction（SP）またはadd authentication samlIdPProfile（IdP）の有無を確認することで、SAMLの構成を特定できます。
CitrixはマネージドクラウドサービスとマネージドAdaptive Authenticationを自社で更新しますが、顧客は自社で運用するNetScalerに自らパッチを適用する必要があると、The Registerは伝えています。
2万1000件超のNetScaler IPアドレスが露出
BleepingComputer によると、Shadowserverは、インターネットに露出し、NetScalerのフィンガープリントを持つIPアドレスを2万1000件以上特定しました。内訳は、Gatewayが約1500件、ADCのインスタンスが2万件近くです。
ただし、この数字だけでは、未パッチの機器がいくつあるか、脆弱なSAML構成を使っている機器がいくつあるか、あるいはハニーポットがいくつ含まれるかは分かりません。
The Hacker Newsは、CVE-2026-88771、CVE-2026-88772、CVE-2026-88779という3件の別個の脆弱性が、NetScalerを標的とした攻撃ですでに悪用されていると指摘しています。
これらの攻撃を、CVE-2026-107406と混同しないよう注意が必要です。CitrixはCVE-2026-107406について、緩和策のない既知の悪用は報告していません。
セキュリティチームがいま取るべき対応
ITおよびセキュリティの管理者は、次の3つの対応を優先すべきです。
- 対象機器の棚卸し：顧客管理のNetScaler ADC、Gateway、Secure Private Access Hybridの環境を洗い出す。
- 構成の確認：ソフトウェアのバージョンをCitrixのアドバイザリと照合し、影響を受けるSAMLのSPまたはIdPの設定が有効になっていないかを確認する。
- パッチ適用とテスト：該当する修正版をインストールし、アップグレードを確認したうえで、認証とリモートアクセスが正常に動作するかをテストする。
リモートアクセスにNetScaler Gatewayを利用している組織にとって、リスクは脆弱な機器1台にとどまりません。DoS攻撃を受ければ、従業員が業務アプリケーションにアクセスできなくなる恐れがあります。リモートコード実行に成功されれば、機器そのものが侵害される可能性があります。
セキュリティチームは、どのNetScalerインスタンスがSAML認証を使用しているかを確認し、ソフトウェアのバージョンを点検したうえで、適切なパッチを適用してください。アップグレード後に従業員のサインインが正常に機能するかどうかも確認する必要があります。
CitrixはCVE-2026-107406の悪用を報告していませんが、他のNetScaler脆弱性を狙った最近の攻撃を踏まえると、こうしたアップデートを先送りするのは危険な選択です。
関連記事：Citrixは最近、 攻撃で悪用された別のNetScaler SAMLゼロデイにもパッチを適用しました。この以前の脆弱性であるCVE-2026-88779により、攻撃者は影響を受けるシステムを妨害できました。
翻訳元: https://www.esecurityplanet.com/threats/news-citrix-netscaler-rce-cve-2026-107406/
