企業ネットワークの出入り口を担う米シトリックス（Citrix）の製品「NetScaler（ネットスケーラー）」に深刻な欠陥が見つかり、同社は利用者に直ちに修正プログラム（パッチ）を適用するよう呼びかけました。悪用されれば、攻撃者が遠隔から任意のプログラムを実行できる恐れがあり、企業の情報システム部門に早急な対応が求められています。
どんな欠陥なのか
問題の脆弱性は「CVE-2026-107406」と識別され、メモリーの処理に関する弱点（メモリーオーバーフロー）に起因します。悪用されると、遠隔からの任意コード実行（RCE）や、機器が動作を停止するサービス妨害（DoS）につながる恐れがあります。影響を受けるのは、利用者認証の仕組み「SAML」をIDプロバイダー（IdP）またはサービスプロバイダー（SP）として設定したNetScaler ADCおよびNetScaler Gatewayの製品です。
悪用はまだ確認されず
今回の欠陥について、シトリックスは「対策が取られていない状態での悪用は把握していない」と説明しており、報道時点で実際の攻撃は確認されていません。前日に報じられた米オラクルの基幹システムの欠陥がすでに悪用されていたのとは対照的で、被害が広がる前に手を打てるかどうかが焦点となります。
修正版は公開済み
シトリックスはすでに修正済みのバージョン（NetScaler ADC／Gateway 14.1-73.46以降、13.1-64.29以降など、FIPS対応版を含む）を公開し、「できるだけ早く」更新するよう促しています。NetScaler系の製品は企業の遠隔接続の要であるだけに、過去にも攻撃者の標的になってきた経緯があり、放置は大きなリスクを伴います。
日本への影響
NetScalerは、社外から社内システムへ安全に接続するための基盤や、通信を振り分ける装置として、日本でも金融機関や官公庁、大企業で広く使われています。在宅勤務やテレワークが定着したいま、こうした「入り口」の機器が乗っ取られれば、社内ネットワーク全体が危険にさらされ、取引データや個人情報の流出につながりかねません。情報システム部門には、自社がこの脆弱性の影響を受ける設定になっているかを早急に確認し、公開された修正版への更新を速やかに進めることが求められます。攻撃がまだ確認されていない「猶予期間」のうちに対応を終えることが、被害を未然に防ぐ最善の策となります。取引先を含めたサプライチェーン全体で、不要な外部公開を避ける基本的な防御を徹底することも欠かせません。
まとめ：被害が出てから慌てるのではなく、静かなうちに守りを固めることが肝心です。地道なパッチ適用こそが、事業を守る確かな一手になりますね。
出典：
BleepingComputer – Citrix warns admins to patch new NetScaler RCE flaw immediately
Photo: Egor Komarov / Unsplash
