Citrixは10月8日、リモートコード実行やサービス拒否を引き起こす可能性のある重大な脆弱性にパッチを適用するよう、NetScaler管理者に促すセキュリティアドバイザリーを公開した。CVE-2026-107406として追跡されているこの脆弱性のCVSS v4.0スコアは9.5に達する。
すべてのNetScalerデバイスが危険にさらされているわけではない。この問題は、Security Assertion Markup Language（SAML）認証を処理するよう構成されたNetScaler ADCおよびNetScaler Gatewayの特定のビルドに影響する。Citrixはこの脆弱性について悪用を確認していないが、今回の開示は、複数のNetScaler脆弱性が悪用された後に行われた。セキュリティチームにとって、適切なバージョンと認証ロールを特定することが、問題解消に向けた第一歩となる。
CVE-2026-107406の影響を受けるのは？
Citrixは、このメモリーオーバーフローをCWE-119として分類している。影響を受ける古いビルドでは、SAMLサービスプロバイダー（SP）またはアイデンティティープロバイダー（IdP）として構成されている場合に危険にさらされる。一部の新しいビルドでは、IdPロールの場合にのみ脆弱となる。
同社のセキュリティアドバイザリーには、影響を受けるビルドと利用可能な修正が示されている。
製品 | 影響を受けるビルドとSAMLロール | 修正版ビルド |
NetScaler ADC/Gateway 14.1 | 14.1-73.37未満：SPまたはIdP。14.1-73.37以上14.1-73.41以下：IdPのみ | 14.1-73.46以降 |
NetScaler ADC/Gateway 13.1 | 13.1-64.23未満：SPまたはIdP。13.1-64.23以上13.1-64.28以下：IdPのみ | 13.1-64.29以降 |
NetScaler ADC 14.1-FIPS | 14.1-73.37 FIPS未満：SPまたはIdP。14.1-73.37 FIPS以上14.1-73.41 FIPS以下（両バージョンを含む）：IdPのみ | 14.1-73.46 FIPS以降 |
NetScaler ADC 13.1-FIPS/NDcPP | 13.1-37.279未満：SPまたはIdP。13.1-37.279以上13.1-37.282以下（両バージョンを含む）：IdPのみ。エディションごとの適用対象はCitrixのアドバイザリーで確認すること | 13.1.37.283以降 |
影響を受けるNetScalerインスタンスを使用するSecure Private Access Hybridの構成にも、更新が必要となる。
管理者は、add authentication samlAction（SP）またはadd authentication samlIdPProfile（IdP）の有無を確認することで、SAML構成を特定できる。
Citrixは、マネージドクラウドサービスとマネージドAdaptive Authenticationを更新するが、顧客自身が運用するNetScaler環境には顧客側でパッチを適用する必要があるとThe Registerは伝えている。
インターネットに露出したNetScalerのIPアドレスは2万1,000件超
BleepingComputerは、Shadowserverが、NetScalerのフィンガープリントを持つインターネットに露出したIPアドレスを2万1,000件以上特定したと報じた。内訳はGatewayが約1,500件、ADCが約2万件に上る。
ただし、この数字からは、パッチが未適用のデバイス数や、脆弱なSAML構成を使用しているデバイス数、ハニーポットの数までは分からない。
The Hacker Newsは、CVE-2026-88771、CVE-2026-88772、CVE-2026-88779という3件の別個の脆弱性が、NetScalerを狙った攻撃ですでに悪用されていると指摘した。
これらの攻撃を、Citrixが既知の未対処の悪用事例として報告していないCVE-2026-107406と混同してはならない。
セキュリティチームが今すべきこと
ITおよびセキュリティ管理者は、次の3つの対策を優先すべきだ。
- 影響を受けるアプライアンスを棚卸しする：顧客が管理するNetScaler ADC、Gateway、Secure Private Access Hybridの構成を特定する。
- 構成を確認する：ソフトウェアのバージョンをCitrixのアドバイザリーと照合し、影響を受けるSAMLのSPまたはIdP設定が有効になっているか確認する。
- パッチを適用してテストする：該当する修正版をインストールし、アップグレードを確認したうえで、認証とリモートアクセスをテストする。
リモートアクセスにNetScaler Gatewayを利用する組織にとって、リスクは単一の脆弱なデバイスにとどまらない。サービス拒否攻撃を受ければ従業員が業務アプリケーションにアクセスできなくなる可能性があり、リモートコード実行に成功すればアプライアンス自体が侵害される恐れがある。
セキュリティチームは、どのNetScalerインスタンスがSAML認証を使用しているかを確認し、ソフトウェアのバージョンを調べ、適切なパッチを適用すべきだ。アップグレード後に従業員のサインインが正常に機能することも確認する必要がある。
CitrixはCVE-2026-107406の悪用を確認していないものの、他のNetScaler脆弱性を狙った最近の攻撃を踏まえると、これらの更新を遅らせるのは危険な選択となる。
関連記事：Citrixは最近パッチを適用した 攻撃で悪用された別のNetScaler SAMLゼロデイ。以前の脆弱性CVE-2026-88779では、攻撃者が影響を受けるシステムを妨害できた。