公開日:

更新日:

「DoSの脆弱性」が一転、NetScalerで認証不要のRCEに　PoC公開でJPCERT/CCが注意喚起

企業のリモートアクセス基盤として広く使われているCitrix NetScaler ADC／NetScaler Gatewayをめぐり、いったんは「サービス運用妨害（DoS）につながる」と説明されていた脆弱性が、条件次第で認証なしのリモートコード実行（RCE）に至る可能性があることが明らかになった。JPCERT/CCは2026年8月15日、CVE-2026-8452に関する注意喚起を発行。同日時点で悪用を示す情報は確認していないとしながらも、Webシェルを設置できる検証コードが公開済みであることから、今後の攻撃発生を懸念している。

6月に公表された脆弱性の「本当の深刻度」

発端は2026年6月30日に公表されたCVE-2026-8452である。この時点では、サービス運用妨害や不審な動作につながる脆弱性として扱われていた。

流れが変わったのは8月14日。セキュリティ研究組織のwatchTowr Labsが、NetScaler ADCおよびNetScaler Gatewayにおけるヒープベースのバッファオーバーフローの詳細分析を公表した。同社はこれをCVE-2026-8452に関連するものとみており、NetScaler ADCおよびNetScaler GatewayがSAML SP（サービスプロバイダー）またはIdP（アイデンティティプロバイダー）として構成されている場合に、認証なしでリモートコード実行が可能だとしている。SAMLはシングルサインオンなどで使われる認証連携の仕組みで、認証情報のやり取りに署名付きのXMLを用いる。分析によれば、この署名データを処理する過程での境界チェックの不備が悪用の起点になるという。

さらに同社は、その後Webシェル（サーバー上に設置され、外部からコマンドを実行するための不正なプログラム）を設置可能な概念実証（PoC）コードを公開した。攻撃に必要な材料が公開された状態にある、ということになる。

「DoSどまり」という当初の理解のままパッチ適用を後回しにしていた組織にとっては、前提が変わったことになる。優先度の再評価が必要だ。

対象バージョンと、構成による違い

Cloud Software Groupが公表しているCVE-2026-8452の対象は次のとおり。

  • NetScaler ADCおよびNetScaler Gateway 14.1-72.61より前のバージョン
  • NetScaler ADCおよびNetScaler Gateway 13.1-63.18より前のバージョン
  • NetScaler ADC FIPS 14.1-72.61 FIPSより前のバージョン
  • NetScaler ADC FIPSおよびNDcPP 13.1-37.272より前のバージョン

ここで注意したいのが、影響条件の説明が発信元によって異なる点である。Cloud Software Groupは、影響を受けるのはアプライアンスがゲートウェイ（SSL VPN、ICAプロキシ、CVPN、RDPプロキシ）またはAAA仮想サーバーとして構成されている場合だと説明している。一方、watchTowr Labsが詳細分析を公開した脆弱性は、SAML SPまたはIdPとして構成されている場合にリモートコード実行が可能だとしている。自組織の構成がどちらに当てはまるかを確認し、判断がつかない場合は影響を受ける前提で動くのが安全だろう。

対策は修正済みバージョンへのアップグレードで、Cloud Software Groupは本脆弱性に対する回避策を提供していない。つまり、バージョンを上げる以外の逃げ道がない。JPCERT/CCは、十分なテストを実施したうえで修正済みバージョンを適用するよう求めている。

侵害調査で見るべき4つのポイント

JPCERT/CCは、watchTowr Labsが公開したPoCコードと技術情報に基づき、侵害の有無を確認する際の調査観点を挙げている。

第一に、想定していないPHPファイルへのアクセスがないかの確認。PoCコードでは「/var/vpn/theme/」配下に「x.php」というWebシェルを設置するが、実際の攻撃ではファイル名やディレクトリ、ファイル内容が変更されている可能性がある。

第二に、SAML通信の中に、通常と比較して異常に長いデータを含むSAML Responseが送信されていないかの確認。可能であれば、SAML Response内の「SignedInfo」要素や「InclusiveNamespaces」要素の「PrefixList」属性に異常に長いデータが含まれていないかを見る。特にSAML ACS（認証結果を受け取るエンドポイント。環境によっては「/cgi/samlauth」など）へのPOSTリクエストについて、リクエストサイズやデータ長を確認することが推奨されている。

第三に、「nsppe」プロセスの異常終了や、短時間での再生成の痕跡。不審なSAML通信の直後にクラッシュや再生成、PIDの変更がないかを見る。

第四に、「/bin/sh」のパーミッション変更の有無。PoCコードには、Webシェル経由で実行するコマンドの権限を昇格させるため、このパーミッションを変更する処理が含まれている。

いずれも、パッチを当てただけでは確認できない項目である。

境界機器は「直っているか」より「入られていないか」

NetScalerのようなリモートアクセス基盤は、その役割上インターネットに面して稼働している。攻撃者から見れば、探索も容易で、成功すれば社内ネットワークへの入口をそのまま手に入れられる。過去にも同種のアプライアンスの脆弱性が、ランサムウェア攻撃の初期侵入経路として繰り返し使われてきた。

今回のケースで注目すべきは、脆弱性の深刻度評価が後から引き上げられた点だ。公表当初の分類を基準に社内の優先度を決め、そのまま更新していなければ、実態より低いリスクとして扱い続けることになる。脆弱性情報は一度読んだら終わりではなく、悪用状況やPoCの公開といった続報に応じて再評価する運用が要る。

JPCERT/CCは、8月15日時点で悪用を示す情報は把握していないとしつつ、影響を受ける対象製品が国内で広く利用されていることを確認しているという。PoCが公開されている以上、悪用の観測がないことは「安全である」ことを意味しない。むしろ、攻撃が本格化する前に手を打てる時間が残されている、と読むべき局面である。

導入事例

他社はどう対策しているか：EDR+SOC 導入事例を見る

同じ手口に、自社は備えられていますか？

出典・参考リンク