Citrixは、認証をバイパスしたりサービス拒否（DoS）攻撃を仕掛けたりするために悪用される可能性のある、最近公開された脆弱性に対してパッチを適用すると、NetScaler ADCおよびGatewayアプライアンスのログインページが動作しなくなる場合があると警告しています。
これは、NetScaler 14.1.47.46および13.1.59.19以降で、クロスサイトスクリプティング（XSS）やコードインジェクション、その他のクライアントサイド攻撃に関連するリスクを軽減するContent Security Policy（CSP）ヘッダーがデフォルトで有効になったために発生します。
しかし、このポリシーはブラウザでの不正なスクリプトや外部コンテンツの実行を防ぐために設計されていますが、Radius認証に基づくDUO構成や統合、カスタムSAML設定、その他厳格なCSPルールに準拠していないIDP構成によって読み込まれる正当なスクリプトやリソースも、意図せず制限してしまう場合があります。
「NetScalerをビルド14.1 47.46または13.1 59.19にアップグレードした後、認証に関連する問題が発生する場合があります」と、同社はアドバイザリで説明しており、管理者に対して2つの重大なセキュリティ脆弱性への即時パッチ適用も警告しています。
「この問題は、特にRadius認証に基づくDUO構成、SAML、またはカスタムスクリプトに依存するIDプロバイダー（IDP）などの認証方法を使用している場合に、“壊れた”ログインページとして現れることがあります。この動作は、今回のNetScalerビルドでCSPヘッダーがデフォルトで有効になったことに起因しており、アップグレード前にCSPが有効化されていなかった場合に特に発生します。」
2つのセキュリティ欠陥のうち1つ目（CVE-2025-5777、Citrix Bleed 2と呼ばれる）は、攻撃者がユーザーセッションを乗っ取ることで認証をバイパスできるものであり、2つ目（CVE-2025-6543）は現在、サービス拒否攻撃で実際に悪用されています。
この既知の問題に一時的に対処するため、Citrixは管理者に対し、影響を受けるNetScalerアプライアンスでデフォルトのCSPヘッダーを（ユーザーインターフェースまたはコマンドラインから）無効化し、キャッシュをクリアして変更を即時反映させることを推奨しています。
CSPヘッダーを無効化した後、管理者はNetScaler Gatewayの認証ポータルにアクセスし、問題が解決したかどうかを確認することも推奨されています。
「これらの手順を実施しても問題が解決しない場合は、さらなるサポートのためにCitrixサポートにご連絡ください。構成の詳細や既に実施した手順をお伝えください」と、同社は月曜日に発行した別のアドバイザリでも付け加えています。
「CSPに関する問題を特定し、お客様の構成に合わせて修正できるよう、ぜひサポートチームまでご連絡ください。」
2025年における8つの一般的な脅威
クラウド攻撃がますます高度化している一方で、攻撃者は驚くほど単純な手法でも成功しています。
Wizが数千の組織で検知したデータをもとに、このレポートではクラウドに精通した脅威アクターが用いる8つの主要な手法を明らかにします。