✅ レポートタイトル：NetScaler Vulnerability Analysis: CVE-2026-8452

✅ レポートの要約

📌 脆弱性概要

• 2026年8月26日、NetScaler ADC（旧Citrix ADC）およびNetScaler Gateway（旧Citrix Gateway）のRemote Code Execution脆弱性であるCVE-2026-8452について、直近のIn-the-wildでの悪用が確認されました。
• 本脆弱性は、以下に記載するバージョンの製品で脆弱であることが判明しました。
  • NetScaler ADCおよびNetScaler Gateway 14.1 < 14.1-72.61
  • NetScaler ADCおよびNetScaler Gateway 13.1 < 13.1-63.18
  • NetScaler ADC 14.1 FIPS < 14.1-72.61 FIPS
  • NetScaler ADC 13.1 FIPSおよびNDcPP < 13.1-37.272
• 2026年6月30日、CVSSv4.0で8.8（High）の脆弱性として公表され、パッチ対応が進められました。
• 2026年8月17日、身元不明の攻撃グループによる実際の悪用事例が確認されたため、迅速な対応が推奨されます。

📌 攻撃動向

• 2026年8月17日、NHS England National CSOCは、ハニーポットを標的とした悪用の試みと実際の悪用報告を踏まえ、警戒レベルをHighに引き上げました。
• 2026年8月26日、Canadian Centre for Cyber Securityは、公開情報に基づき本脆弱性のIn-the-wildでの悪用を確認したとして勧告を更新しました。
• 2026年8月26日、CISAは実際の悪用証拠に基づき、CVE-2026-8452をKnown Exploited Vulnerabilities Catalogに登録しました。
• 2026年8月27日、PrevidianおよびDefusedは、攻撃者が脆弱な機器にx.phpおよびz.phpのWebシェルを配置し、idやechoなどのシステム探索コマンドを実行していたことを公開しました。

📌 脆弱性の発生原因

• 本脆弱性は、NetScaler ADCおよびNetScaler GatewayにおけるSAML XML署名の正規化処理において、メモリバッファの境界チェックが不十分なために発生するRemote Code Execution脆弱性です。
• 脆弱なコードパスは、GatewayまたはAAA仮想サーバーにSAMLサービスプロバイダーまたはIDプロバイダーのポリシーが紐付けられている場合に有効化されます。
• nsppeプロセスは、SAML署名の検証に先立ちds:SignedInfo要素を正規化しますが、この過程で攻撃者が操作可能なec:InclusiveNamespaces要素のPrefixList値を、十分な長さの検証を行わずに固定サイズのバッファへコピーします。
• 過度に長いPrefixListが入力されると、現在のnsbネットワークバッファのデータ領域を超えて書き込みが行われ、隣接するnsbチャンクのデータポインタおよびメモリ管理情報が破損します。
• 破損したポインタはその後の呼び出し処理で使用され、攻撃者がコピー元およびコピー先のアドレスを制御できる任意のメモリ書き込みが発生する可能性があり、さらに関数ポインタの改ざんによる実行フローの制御につながる可能性があります。
• nsppeプロセスはroot権限で実行されるため、この実行フロー制御は最終的にroot権限でのコード実行につながる可能性があります。

✅ 脅威検知の推奨事項と対策方法：

• 製造元が提供するセキュリティアップデートを適用します。
  • NetScaler ADCおよびNetScaler Gateway 14.1 ≥ 14.1-72.61
  • NetScaler ADCおよびNetScaler Gateway 13.1 ≥ 13.1-63.18
  • NetScaler ADC 14.1 FIPS ≥ 14.1-72.61 FIPS
  • NetScaler ADC 13.1 FIPSおよびNDcPP ≥ 13.1-37.272
• 上記バージョンはCVE-2026-8452が最初に修正された最小ビルドであるため、運用環境では当該ビルド以上のうち製造元が提供する最新のメンテナンスビルドを適用することを推奨します。
• サポートが終了したNetScaler 12.1および13.0系は、サポート対象バージョンへアップグレードし、HA構成の場合はすべてのノードにセキュリティアップデートを適用した後、show ns versionコマンドで適用バージョンを確認します。
• 直ちにパッチを適用できない場合は、以下の対策方法に従って対応することを推奨します。
  • 外部に公開されたGatewayまたはAAA仮想サーバーに紐付けられたSAML認証ポリシーを特定し、運用上可能な場合はパッチ適用までの間、当該ポリシーのバインドを解除するかSAML認証機能を無効化します。
  • ファイアウォールおよびアクセス制御機器を通じて、GatewayおよびAAA仮想サーバーへのアクセスを信頼できるIP帯に制限し、不要なインターネットアクセスを遮断します。
  • 上記の緩和策を適用できないインターネット公開機器については、セキュリティアップデート完了までの間、当該仮想サーバーまたはサービスの一時停止を検討します。