Citrix NetScaler の脆弱性 CVE-2026-8452：PoC の公開と RCE の可能性

Citrix NetScaler Heap Overflow Flaw Lets Remote Attackers Execute Code as Root – PoC Released

2026/08/14 CyberSecurityNews — Citrix NetScaler ADC／Gateway に存在する認証前のヒープ・オーバーフローの脆弱性 CVE-2026-8452 (CVSS 8.8) に対して、root 権限でコードを実行可能なリモート・コード実行 (RCE) の PoC エクスプロイトが公開された。この脆弱性は、Cloud Software Group が 6月30日に公開したセキュリティ・ブリテン CTX696604 で対処されており、Citrix はサービス拒否 (DoS) または予測不能な挙動につながり得るメモリ・オーバーフローの脆弱性と説明していた。

しかし、独立した分析により、はるかに深刻な欠陥であることが確認された。この脆弱性を悪用するリモート攻撃者は、root 権限で動作する中核的なパケット処理エンジンを直接制御する可能性がある。エンタープライズの境界インフラを保護する Citrix NetScaler であるため、繰り返し発生する脆弱性への対処は重要である。

WatchTowr Labs は Cyber Security News (CSN) と共有したレポートで、この欠陥は認証情報なしで悪用可能であり、すでに root として動作するパケット処理エンジン “nsppe” の制御に至ると述べている。

ヒープ・オーバーフローによる root 権限の取得

NetScaler は、数千のエンタープライズ・ネットワークで境界ゲートウェイとして利用される。具体的には、負荷分散／SSL オフロード／認証／リモート・アクセスを処理しており、アプライアンスが AAA 仮想サーバまたは Gateway として設定されている場合に、脆弱性 CVE-2026-8452 (CVSS 8.8) の影響が生じる。その対象には、SSL VPN／ICA Proxy／CVPN／RDP Proxy の設定も含まれる。

複数のメモリ関連の脆弱性を公開した Citrix は、個々の CVE と特定の研究者を対応付けていなかったため、研究チームは “nsppe” (NetScaler Packet Processing Engine) のシンボルが削除されたバイナリをリバース・エンジニアリングし、差分を分析した。

NetScaler Service Connection Failure During Initial Overflow
NetScaler Service Connection Failure During Initial Overflow (Image Source: labs.watchtowr.com)

決定的な欠陥が見つかったのは、SAML 認証ハンドラ内である：

  • 境界チェックの欠如：旧ビルドの XML 署名の正規化処理において、固定サイズのバッファへ署名済み SAML メッセージの “SignedInfo” 要素をコピーする際に、長さの境界が検証されない。
  • ヒープ・メタデータの破損：過大な “SignedInfo” ペイロードにより割り当て済みバッファがオーバーフローし、その結果、エンジンが使用する隣接ヒープ・メタデータ構造が破損する。
  • サービスのクラッシュ：制御されていないメモリ上書きにより、エクスプロイトを安定して成立させる前の段階で、プロセス終了や接続障害が発生する。

NetScaler の旧ビルドでは、最新のバイナリ緩和策が欠如しているため、安定した悪用が大幅に容易になる。これらのバイナリは Position Independent Executable (PIE) ではなく、Address Space Layout Randomization (ASLR) も備えていないため、メモリ・アドレスの予測が容易であり、安定した悪用につながりやすい。

HTTP 404 Response Prior to Webshell Deployment
HTTP 404 Response Prior to Webshell Deployment (Image Source: labs.watchtowr.com)

WatchTowr Labs が公開したエクスプロイト分析に詳述されるように、ヒープ・オーバーフローにより後続のメモリ・コピー操作が破損し、それにより攻撃者は標的メモリ・アドレスへ任意のバイト列を書き込めるようになる。これにより攻撃者は、定期的に呼び出される関数ポインターを乗っ取り、root 権限で動作するシェルコードへ制御フローをリダイレクトできるようになる。

通常の条件では、”pitboss” というウォッチドッグ・プロセスが “nsppe” を監視し、未処理のクラッシュが発生した場合にアプライアンスを自動的にリブートし、永続化されていないディスク領域を消去する。しかし研究者が実証したのは、エクスプロイト・プリミティブによって “nsppe” の状態を安定させ、永続的なバックドアを侵害したアプライアンス上に残せることである。

Successful Command Execution via Deployed Webshell
Successful Command Execution via Deployed Webshell (Image Source: labs.watchtowr.com)

この問題の特定には、JPMorgan Chase の XOR チームに所属する Michael Tucker と watchTowr が関与している。公開されたエクスプロイト・コードが浮き彫りにするのは、緩和されていない Citrix の RCE 脆弱性が、境界防御に対する即時の脅威となることだ。

注：影響を受けるのは、顧客が管理するアプライアンスのみであり、Citrix のマネージド・クラウド・サービスにおいては、この脆弱性の情報が公開される前にアップグレードが完了している。

このアドバイザリ CTX696604 で公開された、SAML に関する情報漏洩の脆弱性 CVE-2026-8451 も、公開から 24時間以内に活発なスキャンを受けている。それが示すのは、脅威アクターが NetScaler のアドバイザリを継続的に悪用していることである。

脆弱性 CVE-2026-8452 (CVSS 8.8) に対する回避策は確認されておらず、パッチ適用済みファームウェアへのアップグレードが唯一の効果的な防御策となっている。ユーザー組織に求められるのは、緊急のパッチ適用プロセスを直ちに開始することである。

Citrix NetScaler ADC および Gateway には、SAML 認証ハンドラの長さを検証しない境界チェック欠如によりヒープ・メタデータの破損を発生させる、深刻な不具合 CVE-2026-8452 (CVSS 8.8) が存在します。本件は認証を経ずにリモートから root 権限の奪取を可能とし、システムの安定運用を脅かすのみならず、悪意あるコードの継続実行やネットワーク内部侵入の基盤とされる重大な脅威を伴います。本問題への回避策は用意されていないため、修正済み最新ファームウェアの迅速適用／影響対象システムに対するログ監視の強化／脆弱性情報の継続的な確認が強く求められます。