CVE-2026-107406: NetScaler ADCおよびゲートウェイの重大なRCE脆弱性

CitrixはCVE-2026-107406を公開しました。これは、特定のSAML認証ロールに設定されたNetScaler ADCおよびNetScaler Gatewayアプライアンスに影響を及ぼす、重大なメモリオーバーフロー脆弱性です。この欠陥にはCVSS v4.0スコア9.5があり、未認証のリモート攻撃者が脆弱なシステムで任意のコードを実行したり、サービス拒否状態を引き起こしたりする可能性があります。

この脆弱性は特に重要です。なぜなら、NetScalerアプライアンスはしばしばネットワークの境界に配置され、認証、アプリケーションの提供、およびリモートアクセス機能を提供しているからです。したがって、攻撃の成功により、外部ユーザーと機密企業リソースの間に位置するインフラが危険にさらされる可能性があります。

Citrixは2026年10月8日にセキュリティブリテンCTX697191を発表し、影響を受ける組織に直ちにアップグレードするように促しました。曝露はインストールされたNetScalerビルドだけでなく、アプライアンスがSAMLサービスプロバイダー（SP）またはアイデンティティプロバイダー（IdP）として設定されているかどうかに依存します。公開時点でCitrixはこの欠陥を標的とする緩和されていない攻撃については認識していないと述べました。

組織は、SOC PrimeのAIネイティブ検出インテリジェンスプラットフォームを使用して、新たに発生する脆弱性の悪用に対する防御を強化できます。これにより、セキュリティチームは多様なセキュリティ環境での脅威検出エンジニアリング、脅威ハンティング、および調査を加速できます。

セキュリティの専門家は、Prime ArchitectとUncoder AIの機能を使用して、脅威インテリジェンスを検出論理に変換し、ハンティングクエリを生成し、組織のテレメトリーに検出を適応させ、サポートされているSIEM、EDR、XDR、およびデータレイク技術にわたってルールを翻訳することもできます。

営業へのお問い合わせ

CVE-2026-107406の分析

CVE-2026-107406は、脆弱なバージョンを実行する、カスタマー管理のNetScaler ADCおよびNetScaler Gatewayアプライアンスに影響します。Citrixはこの問題を、リモートコードの実行またはサービス拒否を引き起こす可能性のあるメモリオーバーフロー脆弱性として説明しています。これは、CWE-119、メモリバッファの範囲内の操作の不適切な制限として分類されます。

CVSSのベクトルは、認証やユーザーの操作なしでネットワークを介して遠隔からの悪用が可能であることを示しています。しかし、Citrixは攻撃の複雑さを高いと評価しており、単に脆弱なアプライアンスに到達する以外に特定の技術条件が必要であることを示唆しています。

正確な曝露条件はソフトウェアのビルドによって異なります。NetScaler ADCおよびGatewayのリリース14.1-73.37から14.1-73.41、および13.1-64.23から13.1-64.28までのバージョンは、SAML IdPとして設定されている場合、脆弱です。NetScaler ADC 14.1-FIPSおよび13.1-FIPS/NDcPPの展開に対しても同様の影響範囲があります。

以前のサポートされているリリースは、より広範な曝露を持っています。14.1-73.37または13.1-64.23よりも前のビルドは、SAML SPまたはSAML IdPとして設定されている場合、脆弱です。そのため、管理者はバージョン情報に依存するのではなく、アプライアンスのバージョンと認証設定の両方を評価する必要があります。

Citrixは、SAML SP設定を示すadd authentication samlActionと、SAML IdP設定を識別するadd authentication samlIdPProfileを確認するように推奨しています。これらのエントリは、適用範囲に含まれる脆弱なビルド範囲と相関させる必要があります。

影響を受けたNetScalerインスタンスを使用するセキュアプライベートアクセスハイブリッドの導入もまた曝露されており、アップグレードが必要です。Citrixが管理するクラウドサービスおよびCitrix管理の適応認証は、クラウドソフトウェアグループが管理された環境に必要なソフトウェアアップデートを適用するため、別に扱われます。

この欠陥は、協調的な脆弱性開示を通じて報告され、Citrixは、JPMorgan Chase XORチームのMichael Tucker、Chew Keong Tan、Alex Bernier、およびMaxim Suhanovを称賛しました。ベンダーは、脆弱性が最初に発見された正確な日付を公に開示していません。

公開時点で、Citrixも参照された報告も、公開されているCVE-2026-107406のPoCまたは実際の悪用キャンペーンを確認していません。それにもかかわらず、脆弱性の深刻な重大度、ネットワークアクセス可能性、および未認証のコード実行の可能性は、迅速な修正の優先度が高いです。

CVE-2026-107406の検出には、セキュリティチームがNetScalerバージョンとSAML SPおよびIdP構成を相関させて曝露されたアプライアンスを特定する必要があります。ディフェンダーはまた、メモリ破損の試みを示すサービスの不安定さ、クラッシュ、異常なネットワーク活動、またはその他の行動をNetScalerテレメトリーでレビューする必要があります。

CVE-2026-107406の緩和策

Citrixは、影響を受けるNetScalerアプライアンスをできるだけ早くアップグレードすることを強く推奨しています。ベンダーは、サポートされている製品ブランチをカバーするパッチビルドをリリースしました。

• NetScaler ADCおよびNetScaler Gateway 14.1：アップグレード 14.1-73.46またはそれ以降；NetScaler ADCおよびGateway 13.1：アップグレード 13.1-64.29またはそれ以降；NetScaler ADC 14.1-FIPS：アップグレード 14.1-73.46 FIPSまたはそれ以降；NetScaler ADC 13.1-FIPSおよび13.1-NDcPP：アップグレード 13.1-37.283またはそれ以降.

セキュアプライベートアクセスハイブリッド導入を運用する組織も、基盤となるNetScalerインスタンスが関連する修正済みリリースに更新されることを確認する必要があります。サポート期限が過ぎたアプライアンスは、露出された古いビルドに放置されるのではなく、サポートされているバージョンに移行するべきです。

管理者は、NetScalerコンソールのセキュリティアドバイザリ機能を使用して、バージョンスキャンを通じて影響を受けるインスタンスを特定し、推奨されるアップグレードワークフローを開始することができます。これにより、組織は複数のNetScalerアプライアンスを評価し、修正が必要な脆弱なシステムを優先させることができます。

CVE-2026-107406の曝露を検出するには、セキュリティチームがインターネットに面したNetScalerシステムのインベントリーを作成し、正確なビルドを特定し、各アプライアンスがSAML SP、SAML IdP、またはその両方として動作しているかどうかを確認する必要があります。ベンダーがCVE-2026-107406の悪用特有のIOCを開示していないため、ディフェンダーは静的な指標のみに依存するのを避け、脆弱性曝露管理を行動監視と組み合わせるべきです。

セキュリティチームはまた、影響を受けたアプライアンスを取り巻く疑わしい活動を調査し、NetScalerイベントをファイアウォール、アイデンティティ、エンドポイント、およびネットワークのテレメトリーと相関させるべきです。外部にアクセス可能なSAMLエンドポイントを含むサービスの予期しないクラッシュや異常な活動は、影響を受けたインスタンスがアップグレードされるまで追加の調査を受けるべきです。

SOC PrimeのAIネイティブ検出インテリジェンスプラットフォームは、組織が新たな脅威インテリジェンスを運用化し、検出エンジニアリングを加速し、セキュリティインフラストラクチャ全体での潜在的な脆弱性の悪用に対する可視性を向上させるのに役立ちます。