要点
- 企業の入口に置かれる Citrix NetScaler に、まとめて多数の欠陥が見つかり、修正が出た。
- 管理ツール NetScaler Console には、ログインなしで制限された機能に届く「認証回避」の欠陥がある。
- Citrix の発表には、悪用されているという記載はない。ただ、修正の公開で狙われやすくなる。
何が起きたか
Citrix（親会社は Cloud Software Group）は 2026年11月12日、NetScaler の更新情報を出した。The Hacker News は「12件」と報じたが、Citrix の ADC・Gateway 向けの発表（CTX697305）には、それより多い欠陥が並んでいる。ここでは Citrix の発表を基に書く。
ADC・Gateway（通信の振り分けや VPN の入口になる機器）向けの欠陥は、ほとんどがメモリの扱いの誤りだ。Citrix は重大度を「Critical」としている。機器が止まるなど、予期しない動きになりうる。一部は特定の機能を使っているときだけ当たる。一方、通信処理の欠陥（CVE-2026-120868）は、初期設定のすべての機器が対象とされる。
読者に注目してほしいのは、別の発表（CTX697320）にある NetScaler Console の欠陥だ。CVE-2026-120869 は認証の誤りで、Citrix によると、認証されていない攻撃者が制限された資源に届く恐れがある。深刻度は 10 点満点の 9.4 とされる。
さらに Windows 版・Linux 版の Secure Access Client（社員の PC に入れる VPN 用ソフト）にも、権限の低い利用者が管理者権限を得られる欠陥がある。CVE-2026-118268 と CVE-2026-118269 で、どちらも 8.5 だ。
悪用について、Citrix の各発表の本文に記載はない。The Hacker News は、Citrix が悪用（exploits）を把握していないと述べたと伝えている。ただし、これは報道を通した話で、Citrix 自身の文書では確認できなかった。悪用がないと確かめられたわけでもない。
日本の利用者への影響
日本での利用状況や、日本の組織への影響・被害の報告は、一次情報では確認できなかった。自社の機器が該当するかは、版の確認が必要になる。Citrix が管理するクラウドサービスは、発表の対象に含まれていない。
今すぐやること
- 自社で NetScaler ADC・Gateway・Console、Secure Access Client を使っているか、情報システム部門や委託先に確かめる。
- 使っているなら、版を確認し、修正済みの版へ更新する。Citrix は回避策を示さず、更新を求めている。
- Console と機器の管理画面は、インターネットから直接届かないようにする。社内の限られた端末からだけ使えるか確かめる。
- 更新できるまで、機器のログイン履歴や設定の変更に不審な点がないか見る。
- 社員の PC の Secure Access Client も、更新の対象に入れる。
背景
NetScaler では 2026年8月にも、認証回避の欠陥（CVE-2026-19490）の修正が出ている。今回の発表でも、同じ型の更新が続いた形だ。
技術者向けの詳細
- 発表日: 2026-11-12（各 bulletin の Initial Publication）。版・CVE・点数は Citrix の advisory（CTX697305、CTX697320 ほか）による。
- ADC・Gateway（CTX697305）の影響版: 14.1 は 14.1-73.57 より前、13.1 は 13.1-64.39 より前、14.1-FIPS は 14.1-73.58 FIPS より前、13.1-FIPS・13.1-NDcPP は 13.1-37.293 より前。Secure Private Access Hybrid の NetScaler も対象。
- 修正版: 上記の版以降。
- Console（CTX697320）: CVE-2026-120869、CWE-287、CVSS v4.0 で 9.4。14.1-74.34 より前が影響を受け、14.1-74.34 以降で修正。
- Secure Access Client: Windows は CVE-2026-118268（26.11.1.6 以降で修正、CTX697280）、Linux は CVE-2026-118269（26.10.4 以降で修正、CTX697281）。
- ADC・Gateway の主な高深刻度: CVE-2026-107412（9.5、Gateway/AAA vserver）、CVE-2026-120868・107407〜107410・107415・111344・120864（いずれも 9.3）。
- 多くは特定機能の設定が条件。例: SMPP、DoH、PUSH、Email OTP、EPA、HDX の vserver。条件の確認手順は CTX697305 を参照。
- CVE-2026-120863（管理面）は、信頼できないホストが NSIP/NSIP6 に届く場合に影響する。
- 悪用の有無: 各 bulletin の本文に記載なし。報道（The Hacker News）では、Citrix は悪用を把握していないと述べたとされるが、Citrix 自身の文書では確認できていない。
