NetScaler の脆弱性 CVE-2026-3055／4368 が FIX：メモリの境界外読み取りの恐れ

Critical NetScaler ADC and Gateway Vulnerabilities Enable Remote Attacks on Affected Systems

2026/03/23 CyberSecurityNews — Cloud Software Group が公表したのは、NetScaler ADC (旧 Citrix ADC)／NetScaler Gateway (旧 Citrix Gateway) に存在する 2 件の深刻な脆弱性 CVE-2026-3055／4368 に対する緊急セキュリティ・パッチである。これらの脆弱性を悪用する未認証のリモート攻撃者は、影響を受けるシステムを侵害する可能性を得る。自社でデプロイメントを管理する組織に強く推奨されるのは、更新プログラムの速やかな適用である。

SAML IDP におけるメモリの範囲外読み取り

1 つ目の脆弱性 CVE-2026-3055 は、CVSS v4.0 ベース・スコア 9.3 の Critical に分類される欠陥である。この脆弱性は、入力検証の不備に起因するものであり、メモリの境界外読み取り (CWE-125：Out-of-Bounds Read) を引き起こす。

この脆弱性の悪用においては、認証やユーザー操作は必要とされず、特別な前提条件も不要であるが、アプライアンスが SAML Identity Provider (IDP) として設定されている必要がある。Cloud Software Group によると、この脆弱性は内部の継続的なセキュリティ・レビューにより特定されたものであり、公開時点で実際の悪用は確認されていないという。

ただし、深刻度は Critical であり、特権不要の攻撃ベクターであることから、優先度の高いパッチ適用対象となる。管理者は NetScaler の設定において “add authentication samlIdPProfile .*” の記述を確認することで、影響の有無を判定できる。

セッション混在を引き起こす競合状態

2 つ目の脆弱性 CVE-2026-4368 は、CVSS v4.0 スコア 7.7 (High) の競合状態 (CWE-362) に起因する脆弱性であり、ユーザー・セッションの混在を引き起こす可能性がある。この欠陥は、Gateway (SSL VPN／ICA Proxy／CVPN／RDP Proxy) または、AAA 仮想サーバとして設定されたアプライアンスに影響する。

この脆弱性の悪用には、低権限の認証とタイミング条件 (AT:P) が必要であるが、ユーザー・セッションの機密性／完全性が侵害される可能性があるため、企業の VPN 環境において重大なリスクとなる。管理者は NetScaler の設定で “add authentication vserver .*” または “add vpn vserver .*” の存在を確認することで影響範囲を特定できる。

影響を受けるバージョンおよびパッチ

影響を受けるバージョンは以下の通りである。

CVEAffected Version
CVE-2026-3055NetScaler ADC/Gateway 14.1 before 14.1-66.59; 13.1 before 13.1-62.23; FIPS/NDcPP before 13.1-37.262
CVE-2026-4368NetScaler ADC/Gateway 14.1-66.54

Cloud Software Group は、以下の修正バージョンへのアップグレードを推奨している。

  • NetScaler ADC／Gateway 14.1-66.59 以降
  • NetScaler ADC／Gateway 13.1-62.23 以降
  • NetScaler ADC 13.1-FIPS／NDcPP 13.1-37.262 以降

このアドバイザリは、顧客が管理するデプロイメント環境に限定されるものだ。Citrix が管理する Cloud サービス／Adaptive Authentication インスタンスは、すでに更新済みである。

NetScaler ADC／Gateway は、VPN およびアプリケーション配信コントローラーとして企業ネットワーク境界で広く使用されているため、未パッチ環境は重大な攻撃対象となり得る。特に、脆弱性 CVE-2026-3055 は Critical スコアを持つため、SAML IDP として設定された環境では、最優先でパッチ適用を行う必要がある。

この脆弱性の原因は、プログラムが外部からの入力を適切にチェックしきれなかったことにあります。特に、脆弱性 CVE-2026-3055 は、入力検証の不備により本来はアクセス不能なメモリ領域が読み取られるという欠陥を露呈しています。また、脆弱性 CVE-2026-4368 は、複数の処理が重なる際のタイミング制御の不備により、他のユーザーのセッションが混在するというリスクを生んでいます。どちらも、システムの土台となる重要な部分での処理ミスが発端です。ご利用のチームは、ご注意ください。よろしければ、NetScaler での検索結果も、ご参照ください。