「NetScaler ADC/Gateway」既知脆弱性、当初説明にないRCEのおそれ - PoCも

JPCERTコーディネーションセンターは、「NetScaler ADC（旧Citrix ADC）」「NetScaler Gateway（旧Citrix Gateway）」に関する既知の脆弱性「CVE-2026-8452」について悪用のリスクが高まっていることから注意喚起を行った。

「CVE-2026-8452」は、ヒープベースのバッファオーバーフローの脆弱性。Cloud Software Groupでは、現地時間2026年6月30日にセキュリティアドバイザリを公開。予期しない動作やサービス拒否につながるおそれがある脆弱性として、他5件の脆弱性とともに注意を呼びかけていた。

同社は、共通脆弱性評価システム「CVSSv4.0」においてベーススコアを「8.8」、重要度を4段階中、2番目に高い「高（High）」と評価した。一方で米国立標準技術研究所（NIST）の脆弱性データベース「NVD」では、「CVSSv3.1」におけるベーススコアを「9.8」とし、「クリティカル（Critical）」相当としていた。

その後、現地時間2026年8月14日にwatchTowrが、同脆弱性に関連すると見られる分析情報を公開。同社は「CVE-2026-8452」との関連について断定せず、疑問符をつけたものの、当初のアドバイザリでは示されていなかった、リモートからのコード実行につながるおそれがある脆弱性であるとの分析結果を公表した。

「NetScaler ADC」や「NetScaler Gateway」を「SAML SP」や「IdP」として構成している場合に、認証を必要とすることなくリモートからroot権限でコードが実行できると報告。ウェブシェルの設置につながる概念実証（PoC）コードも公開している。

（Security NEXT - 2026/08/17 ）ツイート

「NetScaler ADC/Gateway」既知脆弱性、当初説明にないRCEのおそれ - PoCも

関連リンク

PR

関連記事