攻撃者がNetScaler ADCおよびGatewayのゼロデイ脆弱性を悪用、Citrixが警告

Citrix NetScaler ADCおよびNetScaler Gatewayの顧客は、新たなゼロデイ脆弱性の一連の攻撃に見舞われており、緊急のパッチ適用が必要です。その中には、同社が実際に悪用されていると警告したものも含まれています。

この悪用に関する警告により、最も優先度が高い脆弱性CVE-2025-7775が、管理者が最初に対処すべきものとなっています。

Citrixのアドバイザリによると、これはメモリオーバーフローの脆弱性であり、以下のいずれかの条件を満たすNetScalerアプライアンスでサービス拒否（DoS）やリモートコード実行（RCE）につながる可能性があります：

• NetScalerがGateway（VPN仮想サーバー、ICAプロキシ、CVPN、RDPプロキシ）またはAAA仮想サーバーとして構成されている。
• NetScaler ADCおよびNetScaler Gateway 13.1、14.1、13.1-FIPS、NDcPP：IPv6サービスまたはIPv6サーバーにバインドされた（HTTP、SSL、HTTP_QUIC）タイプのLB仮想サーバー、またはDBS IPv6サービスやIPv6 DBSサーバーにバインドされたサービスグループ。
• HDXタイプのCR（キャッシュリダイレクション）仮想サーバーで構成されたNetScaler。

アドバイザリには、顧客が自分の環境が影響を受けているかどうかを確認するためのコマンドライン手順が記載されています。Citrixは別のブログ分析で、回避策や緩和策は存在しないと述べています。

残念ながら、Citrixは実際に観測された攻撃の詳細や、すでに悪用されているかどうかを検出するための侵害の兆候（IoC）について情報を提供していません。これは、攻撃者がRCEを悪用して、後からパッチを適用しても生き残るバックドアをアプライアンスに作成する可能性があるという仮説的な懸念を高めます。

8月26日、セキュリティ研究者のKevin Beaumont氏は、脆弱なNetScalerアプライアンスの84％がCVE-2025-7775に対して未パッチであると推定しました。つまり、攻撃者が狙える対象が多数存在することになります。

その他の脆弱性

他の2つの脆弱性、CVE-2025-7776およびCVE-2025-8424は、CVSS上では「クリティカル」ではなく「高」優先度と評価されていますが、それでもパッチ適用は最優先事項です。

1つ目は、PCoIPプロファイルがバインドされたGatewayとして構成されたデバイスにおけるメモリオーバーフローの脆弱性で、サービス拒否につながります。2つ目は「NetScaler管理インターフェースにおける不適切なアクセス制御」を許す可能性があり、簡単に言えば、攻撃者が認証をバイパスして、本来なら不可能なはずのアプライアンスの管理コンソールを乗っ取ることができるかもしれません。

どのアプライアンスが脆弱か？

影響を受けるモデルは以下の通りです：

• NetScaler ADCおよびNetScaler Gateway 14.1-47.48以降のリリース
• NetScaler ADCおよびNetScaler Gateway 13.1-59.22以降の13.1リリース
• NetScaler ADC 13.1-FIPSおよび13.1-NDcPP 13.1-37.241以降の13.1-FIPSおよび13.1-NDcPPリリース
• NetScaler ADC 12.1-FIPSおよび12.1-NDcPP 12.1-55.330以降の12.1-FIPSおよび12.1-NDcPPリリース

Citrix Bleed（シトリックス・ブリード）

NetScalerの顧客はすでに痛感している通り、これらは2025年中に同社のNetScaler ADCおよびNetScaler Gatewayアプライアンスに影響を与えた最初の重大な脆弱性ではありません。

6月には、同社はCVE-2025-5349およびCVE-2025-5777にパッチを適用しました。後者はNetScaler ADCおよびGatewayデバイスにおける重大な脆弱性で、研究者Beaumont氏が「Citrix Bleed 2」とあだ名をつけたほどです。米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は後にこれを積極的に悪用されている脆弱性のデータベースに追加しました。（元の「Citrix Bleed」脆弱性、CVE‑2023‑4966は2023年にNetScaler ADCおよびNetScaler Gatewayに影響を与えました。）

一方、その数日後にパッチが適用された2つ目の脆弱性、CVE-2025-6543も積極的に悪用されている可能性が浮上しました。これは8月にオランダ国家サイバーセキュリティセンター（NCSC-NL）によって確認され、CVE-2025-6543が少なくとも5月以降、同国内の組織を標的に使用されていたと報告されています。