<style> .ns-hero{padding:clamp(25px,5vw,46px);border-radius:22px;color:#fff;background:linear-gradient(125deg,#251a36,#7a264b 58%,#ca5a51)}.ns-hero h2{color:#fff;margin:.3em 0}.ns-kicker{font-size:.78rem;font-weight:800;letter-spacing:.12em;color:#ffd9d5}.ns-grid{display:grid;grid-template-columns:repeat(3,minmax(0,1fr));gap:12px;margin:20px 0}.ns-card{padding:18px;border:1px solid #efcbd0;border-radius:13px;background:#fff5f5}.ns-card strong{display:block;color:#9a304b;font-size:1.18rem}.ns-flow{display:flex;align-items:stretch;gap:10px;margin:20px 0}.ns-step{flex:1;padding:15px;border-top:4px solid #bb5263;border-radius:10px;background:#fbf1f3}.ns-step b{display:block;color:#872b47}.ns-arrow{align-self:center;color:#8b3951;font-weight:800}.ns-table{overflow-x:auto;margin:20px 0}.ns-table table{width:100%;min-width:640px;border-collapse:collapse}.ns-table th,.ns-table td{padding:11px;border:1px solid #e7cbd0;text-align:left;vertical-align:top}.ns-table th{background:#f8e9ec}.ns-note{padding:17px 19px;margin:20px 0;border-left:5px solid #d79544;border-radius:9px;background:#fff8e9}@media(max-width:760px){.ns-grid{grid-template-columns:1fr}.ns-flow{display:block}.ns-step{margin:9px 0}.ns-arrow{display:none}} </style>

SECURITY / CITRIX NETSCALER

「SAMLを使っているか」だけでは判定できない

影響範囲はビルドとSAMLの役割で分かれる。境界機器を棚卸しし、ベンダーの修正版へ計画的に更新する。

3行で要約

• Citrixは2026年10月8日、NetScaler ADC/Gatewayのメモリオーバーフロー脆弱性CVE-2026-107406を公表した。リモートコード実行（RCE）またはサービス拒否（DoS）につながり得るとし、CVSS v4.0基本値は9.5。^[1]
• 影響はSAML SP/IdPの設定と製品・ビルド範囲の組み合わせで決まる。特定の新しめのビルドではIdPのみが該当し、古いビルドではSPも該当する。^[1]
• 自社管理の機器は設定と稼働ビルドを照合し、Citrix指定の14.1-73.46または13.1-64.29などの修正版へ更新する。Citrix管理のクラウドサービスと同一視しない。^[1][2]

背景：認証の入口に置かれるNetScaler

NetScaler ADC/Gatewayはリモートアクセスやアプリ配信の入口に配置される。SAMLは認証情報をサービス間で交換する仕組みで、IdPは認証を提供する側、SPはそれを受ける側を指す。認証を扱う境界機器の更新では、脆弱性の有無だけでなく、適用後にログインが正常に動くかも重要だ。

今回の記事は当サイトの10月7日付Atlassian脆弱性記事とは別製品・別CVEであり、NetScalerに関する既存記事の続報ではない。Citrix勧告の初版は10月8日。10月9日付の各国CERTの告知日は、脆弱性の発生日やCitrixの初公表日ではない。^[1][3]

何が新しいのか：ビルド範囲でSAMLの条件が変わる

Citrixの公式勧告によれば、原因はメモリ境界の扱いに関する不備（CWE-119）。悪用時の影響はRCEまたはDoSと説明されている。ただし、すべてのNetScalerが無条件に影響を受けるわけではない。対象のSAML構成とビルド範囲をセットで判定する。以下は一般版の主要範囲で、FIPS/NDcPP版は公式勧告の個別行を確認する。^[1]

表はCitrix勧告の範囲を読みやすく整理したもので、列挙されていないビルドを独断で「安全」と保証するものではない。FIPS版は14.1-73.46 FIPS以降、13.1-FIPS/NDcPPは13.1.37.283以降が指定される。対応する正確な製品系列とビルド表記は必ず公式勧告で突き合わせる。Secure Private Access Hybridで自社管理NetScalerを使う構成も対象になり得る。^[1]

管理者の実践手順

1. インターネット公開の有無だけで除外せず、管理下のNetScaler ADC/GatewayとSecure Private Access Hybridの利用機器を洗い出す。Citrix管理のクラウドサービスはベンダーが更新するとしており、自社管理機器とは対応主体が異なる。^[1]
2. 管理画面またはCLIで稼働ビルドを確認する。NetScaler公式のアップグレード手順にもshow ns versionによる確認が示される。^[4]
3. 設定にadd authentication samlAction（SP）またはadd authentication samlIdPProfile（IdP）があるかを確認する。これはCitrixが示す構成判定の文字列で、端末で新たに実行する設定変更コマンドではない。^[1]
4. 該当する場合、冗長構成・バックアップ・変更窓を確認してから修正版へ更新する。NetScaler Consoleを利用していればCVE DetectionのImpacted Instancesで対象を確認し、アップグレードワークフローに進める。Consoleの識別はバージョンスキャンに依存するため、未検出だけで無条件に非該当とは判断しない。^[1][2]
5. 適用後はビルド番号、SAMLログイン、Gateway/ADCの公開サービス、冗長系の切替を確認する。利用者への影響を伴う変更なので、停止・復旧手順を事前に共有する。

リスクと限界

• 古いSP/IdP構成と新しめのIdP構成は影響条件が異なる。SPだけの機器を一律に対象・対象外と判定しない。
• FIPS/NDcPP版は一般版とビルド番号が異なる。表をそのまま転用せず、公式勧告の該当行を確認する。^[1]
• 修正版への更新が恒久対応。アクセス制御の変更などを行う場合も、ベンダーが示していない緩和策を修正済みと扱わない。
• EOLビルドはNetScaler ConsoleのSecurity Advisory対象外とされる。古い機器は製品サポート状況も確認し、更新経路をベンダーに相談する。^[2]

今後注目する点

Citrixの勧告は更新され得る。影響範囲、修正版、追加の調査指針が変わらないかを追跡する。社内では対象機器の更新完了率に加え、SAML認証の成功率と障害時の切替を確認する。編集上の推論として、境界機器ではパッチ適用の速さとサービス継続性の両方を満たす計画が重要だ。

最終確認日：2026年10月10日（日本時間）

参照元

1. Citrix Security Bulletin CTX697191：CVE-2026-107406 — 影響条件、CVSS、修正版、構成判定。初版2026年10月8日。
2. NetScaler公式：CVE-2026-107406の識別と修正 — Consoleでの確認と更新手順。
3. フランスCERT-FR：CERTFR-2026-AVI-1285 — 2026年10月9日付の公的注意喚起。
4. NetScaler公式：CLIでのビルド確認例 — show ns versionの使用例。