重大 9.3 急ぎ度: 早めに

NetScalerにメモリ溢れの脆弱性、修正版を公開

NetScaler ADCとNetScaler Gatewayのパケット処理にメモリ溢れの脆弱性があり、CVSS v4は9.3です。両製品を運用している組織は、版を確認して修正版へ更新してください。

CVE-2026-120868 公開 9:01 更新 9:01 執筆・監修: 佐々木航人が監修しながらAIを活用して執筆

同じ発表の脆弱性 6 件

この記事でまとめた分です。発表元の告知には、ほかの脆弱性も載っていることがあります。

急ぎ度: 早めに

CVSS v4が9.3と高く、認証なしでネットワークから届く評価である一方、すべての対象に修正版が出ているため、早めの更新で対処できます。

関係があるか

NetScaler ADCまたはNetScaler Gatewayを自社で運用している組織が対象です。社外からのリモートアクセスや、業務アプリケーションの負荷分散の入り口に置いている場合は、優先して確認してください。

製品	影響を受ける版	修正版
NetScaler ADC(14.1系)	14.1-73.57より前	14.1-73.57
NetScaler ADC(13.1系)	13.1-64.39より前	13.1-64.39
NetScaler ADC(FIPS)	14.1-73.58 FIPSより前	14.1-73.58 FIPS
NetScaler ADC(FIPs and NDcPP)	13.1-37.293 FIPs and NDcPPより前	13.1-37.293 FIPs and NDcPP
NetScaler Gateway	14.1-73.57より前、13.1-64.39より前	14.1-73.57、13.1-64.39

確かめ方

1NetScalerのCLIで show ns version を実行し、表示された版を上の表と照らし合わせます。
2FIPS版やNDcPP版を使っている場合は、通常版とは別の版番号が基準になる点に注意してください。
3ADCとGatewayを別の機器で運用している場合は、それぞれの版を確認します。高可用性構成なら、ペアの両方の機器を見ます。

何が起きたか

2026年11月12日に、NetScaler ADCとNetScaler Gatewayにメモリ溢れの脆弱性が公表されました。通信を処理している最中に機器のメモリがあふれ、予測できない動作や誤った動作、またはサービス拒否（DoS）が起きるおそれがあります。修正版はすでに公開されています。

CVSS v4は9.3で、機密性・完全性・可用性への影響はいずれも高と評価されています。一方、脆弱性の説明文が挙げる結果は、不安定な動作とDoSです。情報の漏えいや改ざんまで実際に起きるのかは、この説明文だけでは読み取れません。

影響するのは、パケット処理の部分を含む上記の版です。

攻撃の流れ

1

通信の到達

攻撃者がNetScalerに届く通信を送れる位置にいます。
2

メモリ溢れ

パケット処理の途中でメモリがあふれます。
3

動作の異常

機器が予測できない動きをするか、サービスが止まります。
4

業務への影響

リモートアクセスや負荷分散の経由で使う業務システムに接続できなくなるおそれがあります。

公開されている情報をもとにした流れの例です。

どう悪用されるか

CVSSのベクターは、ネットワーク経由で、攻撃の複雑さは低く、事前の認証も利用者の操作も要らないと評価しています。インターネットに面したNetScalerなら、外部から届く通信が入口になりえます。内部ネットワークだけで使っている場合も、社内の端末から到達できる点は変わりません。

被害として明示されているのは、不安定な動作とDoSです。リモートアクセスの窓口や業務アプリの入口が止まると、影響は機器単体にとどまりません。CVSSは機密性と完全性も高と評価していますが、実際にどこまで起きるかは、Citrixの告知で確認する必要があります。

対象の機能や設定に条件があるかどうかも、告知で確認してください。

今すぐやること

1
稼働中の版を確認する

ADCとGatewayの全機器で版を調べ、対象の版かどうかを判定します。FIPS版やNDcPP版は基準になる版番号が別なので、通常版と取り違えないようにします。
```
show ns version
```
2

修正版へ更新する

対象の版なら、使っている系統の修正版へ更新します。外部に公開している機器と、リモートアクセスの窓口になっている機器を先に進めます。高可用性構成は、ペアの両方を更新します。
3

Citrixの告知を確認する

サポート情報のCTX697305で、回避策の有無、影響する設定条件、悪用の状況、そのほかの対象製品を確かめます。更新の手順や注意点もここで確認できます。
4

公開範囲を洗い出す

インターネットに公開しているNetScalerの一覧を作り、更新の順番を決めます。更新日までは、通信の異常や再起動の記録に変化がないか、ログも見ておきます。

背景

NetScaler ADCは、社内の業務アプリケーションへの通信を振り分けるアプリケーション配信装置です。NetScaler Gatewayは、その仕組みの上でリモートアクセスやVPNの入口を担います。どちらも社外から届く通信を最初に受ける位置に置かれることが多く、止まると出社できない従業員の業務が止まります。

NetScalerでは、メモリの扱いに起因する脆弱性が過去に問題になっています。2023年10月に明るみに出たCitrixBleedと呼ばれる脆弱性（CVE-2023-4966）では、メモリ上の情報が漏れ、セッションの乗っ取りに悪用されました。今回の脆弱性は、公表時点の説明がメモリ溢れとDoSであり、CitrixBleedと同じ種類のものとは限りません。ただ、同じ製品群で境界の機器がメモリの問題を抱えた例として、更新の優先度を考える材料になります。

よくある質問

Q.DoSだけなら、更新を急がなくてもよいのでしょうか。

A.説明文はDoSに触れていますが、CVSS v4は機密性と完全性も高と評価しています。しかも認証が要らない評価なので、DoSだけと決めつけず、更新の計画に入れておくほうが安全です。メンテナンス時間を取れる範囲で、早めの更新をお勧めします。

Q.ADCだけ使っていて、Gatewayは使っていません。対象になりますか。

A.対象になります。ADCとGatewayの両方に、同じ脆弱性が確認されています。ADCは上の表にある4つの版のいずれかより前なら、影響を受けます。

この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版 → 修正版	修正版
Citrix NetScaler	Citrix NetScalerADC	14.1-73.57 未満→ 14.1-73.57 13.1-64.39 未満→ 13.1-64.39 14.1-73.58 FIPS 未満→ 14.1-73.58 FIPS 13.1-37.293 FIPs and NDcPP 未満→ 13.1-37.293 FIPs and NDcPP	14.1-73.57 13.1-64.39 14.1-73.58 FIPS 13.1-37.293 FIPs and NDcPP
Citrix NetScaler	Citrix NetScalerGateway	14.1-73.57 未満→ 14.1-73.57 13.1-64.39 未満→ 13.1-64.39	14.1-73.57 13.1-64.39

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

Memory overflow in Packet Processing can lead to unpredictable or erroneous behavior or Denial of Service in NetScaler ADC and NetScaler Gateway.

出典: Security Online NVD GitHub Advisory

参照URL

CERT-EU CERT-EU-2026-020
SECURITYONLINE Citrix NetScaler Critical Vulnerabilities Fixed in 14.1-73.57 and 13.1-64.39
web support.citrix.com
web nvd.nist.gov
web github.com