Citrix NetScaler Keeps Rebooting Following the 0-Day Patch
2026/10/03 CyberSecurityNews — Citrix NetScaler の顧客に対して、実環境で悪用されている 2 件の ゼロデイ脆弱性に対する緊急アップデートが提供されている。これまでに、バージョン 14.1-73.37 をインストールした後、アプライアンスが繰り返し再起動するという報告が寄せられており、細工された SAML 認証トラフィックによる nsaaad サービスのクラッシュに関連しているとみられる。Citrix によると、エンジニアリング・サポートチームは、新たに確認された SAML の問題を調査しており、新しいセキュリティ情報と修正版をリリースする予定であるという。
重要なのは、これらの再起動に関する報告だけでは、攻撃者が 9月のパッチを回避したとは証明できないことにある。現時点でも、バージョン 14.1-73.37 は、CVE-2026-88771／CVE-2026-88772 に対する Citrix の 14.1 系修正版となっている。
1件目の脆弱性を悪用する未認証の攻撃者は、影響を受ける環境でコマンドを実行する恐れがあり、2件目は、DTLS が有効な場合において、コード実行またはサービス拒否 (DoS) につながる可能性がある。その一方で Citrix は、アップデートされていないシステムに対する悪用を確認している。
パッチ適用済みシステムが再起動する理由
Reddit の管理者によると、バージョン 14.1-73.37 を実行する外部公開された NetScaler アプライアンスが、突然、強制的な再起動を繰り返す状態になったという。複数の顧客で問題が発生しているという報告があり、Citrix における Severity 1 のサポートケースにつながった。
別の管理者からは、脆弱性スキャンに続いて nsaaad が繰り返しクラッシュし、クラッシュが一定回数を超えると pitboss ウォッチドッグによりアプライアンスが再起動されたとの報告もある。Citrix サポートは、修正版を準備しているとされるが、これらのフォーラム上の報告については、ベンダーからのセキュリティ情報で確認されていない。
この挙動が問題となる理由は、nsaaad が認証処理を担っているためである。細工されたリクエストにより、このプロセスがクラッシュする可能性があるが、それだけで攻撃者がデバイスを制御できるわけではない。
ただし、クラッシュが繰り返されることで、深刻なサービス拒否 (DoS) が発生する可能性があり、特にリモートワークに使用されるインターネットに公開されたゲートウェイで影響が大きくなる。高可用性の構成であっても、両方のノードが同じトラフィックを受信する場合や、順番に再起動する場合には、サービスが中断する可能性がある。
Citrix の暫定的な SAML 導入ガイドでは、該当する設定の有無の確認や緩和策の検討に加えて、次の修正版に対するインストール準備が顧客に求められている。この記事の執筆時点では、この通知内に、新しい CVE、根本原因の完全な詳細、最終的なリリース番号は記載されていない。したがって、すべての再起動を侵害と関連付けることは避けるべきであり、バージョン 14.1-73.37 での脆弱性の再悪用を疑うべきではない。
防御側が確認すべき事項
セキュリティチームに求められるのは、次の再起動により有用な証拠が失われる前に、コアファイル／システムログ／認証記録／サポートバンドルを保全することである。加えて、再起動時刻と受信した SAML リクエスト／ファイアウォールの記録／ID プロバイダのログの比較などを実施すべきである。
確認対象には、nsaaad のクラッシュ・メッセージ、var/core 内のファイル、最近の設定変更、不明な管理者セッション、異常な外向きトラフィックなどが含まれる。また、送信元アドレスは変更される可能性があるため、一時的なブロックルールは短期的な応急措置として扱う必要がある。
ユーザー組織にとって必要なことは、すべての稼働系と待機系のノードにインストールされているビルドを確認することである。Citrix の CTX697096 では、バージョン 14.1-73.37／13.1-64.23、および対応する FIPS／NDcPP のリリースが、ゼロデイ脆弱性の修正版として記載されている。パッチの適用により、これらの脆弱性を悪用されるリスクは低減するが、アップデート前に設置された Web シェル／取得されたアクセス権が削除されるわけではない。
Cybersecurity News の以前の記事では、2026年9月の攻撃キャンペーンに関連する、root 権限でのアクセス、隠蔽された Web シェル、内部トンネリングが観測されたと報告されている。
Citrix が次のアップデートをリリースするまでの間、影響を受ける顧客に推奨されるのは、Severity 1 のサポートケースを継続し、ベンダーが提供する緩和策を使用することである。その上で、原因不明の再起動を可用性の問題として扱い、同時に潜在的なセキュリティ・インシデントとして扱うことである。
Citrix NetScaler において修正プログラムの適用後に、アプライアンスが再始動を繰り返す不具合が判明しました。CVE-2026-88771／CVE-2026-88772 の対処版であるバージョン 14.1-73.37 の導入環境において認証処理を担うプロセスの障害が発生します。攻撃者による不正な認証要求の送信／プロセス異常終了の誘発／監視機能による強制再起動の発生／サービス提供の連続的中断という影響が確認されています。対応策としてログやコアファイルの早期退避／認証要求履歴と再起動日時の照合／全ノードにおける適用バージョンの点検／侵害痕跡の探索／ベンダー提供の暫定緩和策の実施／修正版の公開待ちが推奨されます。
You must be logged in to post a comment.