JPCERT-AT-2026-0024
JPCERT/CC
2026-08-15
watchTowr Labs
You're Back In The Room (Citrix NetScaler Pre-Auth RCE CVE-2026-8452(?))
https://labs.watchtowr.com/youre-back-in-the-room-citrix-netscaler-pre-auth-rce-cve-2026-8452/
Cloud Software Group
NetScaler ADC and NetScaler Gateway Security Bulletin for CVE-2026-8451, CVE-2026-8452, CVE-2026-8655, CVE-2026-10816, CVE-2026-10817, and CVE-2026-13474
https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX696604
JPCERT/CCでは、2026年8月15日時点において本脆弱性の悪用を示す情報を確認していません。今後PoCコードなどを悪用した攻撃の発生が懸念されます。また、JPCERT/CCは、本脆弱性の影響を受ける対象製品が国内で広く利用されていることを確認しています。
本脆弱性の影響を受ける製品を利用している場合は、後述「III. 対策」以降に記載の情報を確認の上、対策の実施などを検討してください。
- NetScaler ADCおよびNetScaler Gateway14.1-72.61より前のバージョン
- NetScaler ADCおよびNetScaler Gateway13.1-63.18より前のバージョン
- NetScaler ADC FIPS 14.1-72.61 FIPSより前のバージョン
- NetScaler ADC FIPSおよびNDcPP 13.1-37.272より前のバージョン
※Cloud Software Groupによると、脆弱性（CVE-2026-8452）の影響を受けるのはアプライアンスがゲートウェイ（SSL VPN、ICAプロキシ、CVPN、RDPプロキシ）またはAAA仮想サーバーとして構成されている場合であるとしています
※一方、watchTowr Labsが詳細分析を公開した脆弱性は、NetScaler ADCおよびNetScaler GatewayがSAML SPまたはIdPとして構成されている場合に、リモートコード実行が可能であるとしています
- 想定していないPHPファイルへのアクセスがないか確認する
※watchTowr LabsのPoCコードでは"/var/vpn/theme/"配下に"x.php"というWebshellを設置しますが、実際の攻撃ではファイル名やディレクトリ、ファイル内容が変更されている可能性があります
- SAML通信において、通常と比較して異常に長いデータを含むSAML Responseが送信されていないかを確認する
※可能な場合は、SAML Response内の"SignedInfo"要素や"InclusiveNamespaces"要素の"PrefixList"属性に異常に長いデータが含まれていないかを確認します
※特にSAML ACS（環境によっては"/cgi/samlauth"など）へのPOSTリクエストについて、リクエストサイズやSAML Response内のデータ長を確認します
- "nsppe"プロセスが異常終了、または短時間に再生成されている痕跡がないかを確認する
※不審なSAML通信の直後に"nsppe"のクラッシュ、再生成、PID変更などの痕跡がないかを確認します
- "/bin/sh"のパーミッションが変更されていないかを確認する
※watchTowr LabsのPoCコードでは、Webshellを介して実行するコマンドの権限を昇格させるため、"/bin/sh"のパーミッションを変更する処理が含まれています
今回の件につきまして提供いただける情報がございましたら、JPCERT/CCまでご連絡ください。
一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）
サイバーセキュリティコーディネーショングループ
Email：ew-info@jpcert.or.jp
JPCERT/CC
2026-08-15
I. 概要
watchTowr Labsは、2026年8月14日にCitrix NetScaler ADCおよびNetScaler Gatewayにおけるヒープベースのバッファオーバーフローの脆弱性の詳細分析を公表しました。同社は、本脆弱性が2026年6月30日に公表された、サービス運用妨害（DoS）や不審な動作につながる脆弱性（CVE-2026-8452）に関連するものとみており、NetScaler ADCおよびNetScaler GatewayがSAML SPまたはIdPとして構成されている場合に、認証なしでリモートコード実行が可能とのことです。その後、同社はWebshellを設置可能な概念実証（PoC）コードを公開しています。watchTowr Labs
You're Back In The Room (Citrix NetScaler Pre-Auth RCE CVE-2026-8452(?))
https://labs.watchtowr.com/youre-back-in-the-room-citrix-netscaler-pre-auth-rce-cve-2026-8452/
Cloud Software Group
NetScaler ADC and NetScaler Gateway Security Bulletin for CVE-2026-8451, CVE-2026-8452, CVE-2026-8655, CVE-2026-10816, CVE-2026-10817, and CVE-2026-13474
https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX696604
JPCERT/CCでは、2026年8月15日時点において本脆弱性の悪用を示す情報を確認していません。今後PoCコードなどを悪用した攻撃の発生が懸念されます。また、JPCERT/CCは、本脆弱性の影響を受ける対象製品が国内で広く利用されていることを確認しています。
本脆弱性の影響を受ける製品を利用している場合は、後述「III. 対策」以降に記載の情報を確認の上、対策の実施などを検討してください。
II. 対象
Cloud Software Groupが公表している脆弱性（CVE-2026-8452）の対象となる製品およびバージョンは次のとおりです。- NetScaler ADCおよびNetScaler Gateway14.1-72.61より前のバージョン
- NetScaler ADCおよびNetScaler Gateway13.1-63.18より前のバージョン
- NetScaler ADC FIPS 14.1-72.61 FIPSより前のバージョン
- NetScaler ADC FIPSおよびNDcPP 13.1-37.272より前のバージョン
※Cloud Software Groupによると、脆弱性（CVE-2026-8452）の影響を受けるのはアプライアンスがゲートウェイ（SSL VPN、ICAプロキシ、CVPN、RDPプロキシ）またはAAA仮想サーバーとして構成されている場合であるとしています
※一方、watchTowr Labsが詳細分析を公開した脆弱性は、NetScaler ADCおよびNetScaler GatewayがSAML SPまたはIdPとして構成されている場合に、リモートコード実行が可能であるとしています
III. 対策
Cloud Software Groupは本脆弱性を修正したバージョンへのアップグレードを推奨しています。十分なテストを実施の上、修正済みバージョンの適用をご検討ください。詳細は、開発者が提供する最新の情報を確認してください。IV. 回避策
Cloud Software Groupは、本脆弱性に対する回避策を提供していません。V. 侵害調査
watchTowr Labsが公開したPoCコードおよび技術情報に基づき、侵害の有無を確認する際には、次の点を調査することを推奨します。- 想定していないPHPファイルへのアクセスがないか確認する
※watchTowr LabsのPoCコードでは"/var/vpn/theme/"配下に"x.php"というWebshellを設置しますが、実際の攻撃ではファイル名やディレクトリ、ファイル内容が変更されている可能性があります
- SAML通信において、通常と比較して異常に長いデータを含むSAML Responseが送信されていないかを確認する
※可能な場合は、SAML Response内の"SignedInfo"要素や"InclusiveNamespaces"要素の"PrefixList"属性に異常に長いデータが含まれていないかを確認します
※特にSAML ACS（環境によっては"/cgi/samlauth"など）へのPOSTリクエストについて、リクエストサイズやSAML Response内のデータ長を確認します
- "nsppe"プロセスが異常終了、または短時間に再生成されている痕跡がないかを確認する
※不審なSAML通信の直後に"nsppe"のクラッシュ、再生成、PID変更などの痕跡がないかを確認します
- "/bin/sh"のパーミッションが変更されていないかを確認する
※watchTowr LabsのPoCコードでは、Webshellを介して実行するコマンドの権限を昇格させるため、"/bin/sh"のパーミッションを変更する処理が含まれています
今回の件につきまして提供いただける情報がございましたら、JPCERT/CCまでご連絡ください。
一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）
サイバーセキュリティコーディネーショングループ
Email：ew-info@jpcert.or.jp