-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 各位 JPCERT-AT-2026-0024 JPCERT/CC 2026-08-15 <<< JPCERT/CC Alert 2026-08-15 >>> NetScaler ADCおよびNetScaler Gatewayにおけるリモートコード実行につながる脆弱性（CVE-2026-8452）に関する注意喚起 https://www.jpcert.or.jp/at/2026/at260024.html I. 概要 watchTowr Labsは、2026年8月14日にCitrix NetScaler ADCおよびNetScaler Gatewayにおけるヒープベースのバッファオーバーフローの脆弱性の詳細分析 を公表しました。同社は、本脆弱性が2026年6月30日に公表された、サービス 運用妨害（DoS）や不審な動作につながる脆弱性（CVE-2026-8452）に関連す るものとみており、NetScaler ADCおよびNetScaler GatewayがSAML SPまたは IdPとして構成されている場合に、認証なしでリモートコード実行が可能との ことです。その後、同社はWebshellを設置可能な概念実証（PoC）コードを公 開しています。 watchTowr Labs You're Back In The Room (Citrix NetScaler Pre-Auth RCE CVE-2026-8452(?)) https://labs.watchtowr.com/youre-back-in-the-room-citrix-netscaler-pre-auth-rce-cve-2026-8452/ Cloud Software Group NetScaler ADC and NetScaler Gateway Security Bulletin for CVE-2026-8451, CVE-2026-8452, CVE-2026-8655, CVE-2026-10816, CVE-2026-10817, and CVE-2026-13474 https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX696604 JPCERT/CCでは、2026年8月15日時点において本脆弱性の悪用を示す情報を確認 していません。今後PoCコードなどを悪用した攻撃の発生が懸念されます。ま た、JPCERT/CCは、本脆弱性の影響を受ける対象製品が国内で広く利用されて いることを確認しています。 本脆弱性の影響を受ける製品を利用している場合は、後述「III. 対策」以降 に記載の情報を確認の上、対策の実施などを検討してください。 II. 対象 Cloud Software Groupが公表している脆弱性（CVE-2026-8452）の対象となる 製品およびバージョンは次のとおりです。 - NetScaler ADCおよびNetScaler Gateway14.1-72.61より前のバージョン - NetScaler ADCおよびNetScaler Gateway13.1-63.18より前のバージョン - NetScaler ADC FIPS 14.1-72.61 FIPSより前のバージョン - NetScaler ADC FIPSおよびNDcPP 13.1-37.272より前のバージョン ※Cloud Software Groupによると、脆弱性（CVE-2026-8452）の影響を受けるのはアプライアンスがゲートウェイ（SSL VPN、ICAプロキシ、CVPN、RDPプロキシ）またはAAA仮想サーバーとして構成されている場合であるとしています ※一方、watchTowr Labsが詳細分析を公開した脆弱性は、NetScaler ADCおよびNetScaler GatewayがSAML SPまたはIdPとして構成されている場合に、リモートコード実行が可能であるとしています III. 対策 Cloud Software Groupは本脆弱性を修正したバージョンへのアップグレードを 推奨しています。十分なテストを実施の上、修正済みバージョンの適用をご検 討ください。詳細は、開発者が提供する最新の情報を確認してください。 IV. 回避策 Cloud Software Groupは、本脆弱性に対する回避策を提供していません。 V. 侵害調査 watchTowr Labsが公開したPoCコードおよび技術情報に基づき、侵害の有無を 確認する際には、次の点を調査することを推奨します。 - 想定していないPHPファイルへのアクセスがないか確認する ※watchTowr LabsのPoCコードでは"/var/vpn/theme/"配下に"x.php"というWebshellを設置しますが、実際の攻撃ではファイル名やディレクトリ、ファイル内容が変更されている可能性があります - SAML通信において、通常と比較して異常に長いデータを含むSAML Responseが送信されていないかを確認する ※可能な場合は、SAML Response内の"SignedInfo"要素や"InclusiveNamespaces"要素の"PrefixList"属性に異常に長いデータが含まれていないかを確認します ※特にSAML ACS（環境によっては"/cgi/samlauth"など）へのPOSTリクエストについて、リクエストサイズやSAML Response内のデータ長を確認します - "nsppe"プロセスが異常終了、または短時間に再生成されている痕跡がないかを確認する ※不審なSAML通信の直後に"nsppe"のクラッシュ、再生成、PID変更などの痕跡がないかを確認します - "/bin/sh"のパーミッションが変更されていないかを確認する ※watchTowr LabsのPoCコードでは、Webshellを介して実行するコマンドの権限を昇格させるため、"/bin/sh"のパーミッションを変更する処理が含まれています 今回の件につきまして提供いただける情報がございましたら、JPCERT/CCまで ご連絡ください。 ====================================================================== 一般社団法人JPCERTコーディネーションセンター（JPCERT/CC） サイバーセキュリティコーディネーショングループ Email：ew-info@jpcert.or.jp -----BEGIN PGP SIGNATURE----- iQIcBAEBCAAGBQJqf/X3AAoJEKUOCs1Y8SQy9TkP/3tSqgVaI8+elDw8a9QeQ3jk cXAxAUrrSHJv2tpkGD1pKaMJb1mXtRX6YXz4NbjDj3u2elPh0OeA2B1j99Pp1xYl cOzxf5yVRHhp4HZlOsjYaxj5Dp/hQttsUKijyAzqxsV9PIWOquay6Tbkuu16fQ3P e0aAiFIWpLxuazGPW/cMSuCd516bNCoUc3wRI5/B62hhhEyHv7EStTSSTMJ2pz6J lDwULfwv/WzUkjUoMQGdg44c31rIaaaneosVZ2V13LwDlXm6vD4OTJdttnapbBp5 7GtuD5a/nt6zm/YIpuz3vRr8AfYosiIpETAQo9pIFb0xn/FJ0ODJ399uqS7NjEXG jxeeK2ioA82R+JNQCSNF+yULvhV3aXhaTjtlAt7riewUsjT2hUezIxhKi1JJyGNJ AEBh/6dQboA6km2Z/MRBDmOvUrVsLaoZKf2MEQcmXrL033OICV5bqIdzZ2r7ip4v R6kA42gLZg2Kr1weM/yqLcNRmDWrWQ1OyQ2R4Wzimb5/xSD4qoTuudpe+Ej1trCf vWIXJUS0OwCsZ0TxZtqJNnrRyMss3u0CEZQafbU9TfkzPTIaN99tWyee/hW4CrhQ 8DRtDgY5utNKqU1OrMFWAEgydueUu/3VUAkvI1N/7rGCM/KDFarAaAFk75A2WLMp hsX2XfAnZou5+x7g5EdV =A1Hp -----END PGP SIGNATURE-----