1. 概要
2026年3月23日(現地時間) 、Cloud Software Group社は、Citrix NetScaler ADC（旧Citrix ADC）およびNetScaler Gateway（旧Citrix Gateway）に関する2件の脆弱性（CVE-2026-3055、CVE-2026-4368）情報を公表しました。
本脆弱性のうち、CVE-2026-3055は境界外読み取りの脆弱性であり、認証されていないリモートの攻撃者によって、メモリ領域から機密情報が読み取られる可能性があります。共通脆弱性評価システム（CVSS v4.0）におけるベーススコアは9.3（Critical：緊急）と評価されており、深刻度は非常に高いと判断されています。
2026年3月30日には、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が本脆弱性を既知悪用脆弱性カタログ(Known Exploited Vulnerabilities)に追加し、米国行政機関に対して2026年4月2日までの対応を義務付けるとともに、広く注意を呼びかけています。
本脆弱性は、同製品で過去に深刻な被害をもたらしたCitrix Bleed（CVE-2023-4966）およびCitrix Bleed 2（CVE-2025-5777）との類似点がセキュリティ企業によって指摘されており、早急な対応が強く推奨されています。
2. 脆弱性情報詳細(CVE-2026-3055、CVE-2026-4368)
(1)脆弱性の概要
Cloud Software Group社が提供するNetScaler ADCおよびNetScaler Gatewayには、入力検証の不備に起因する脆弱性が存在します。今回公表された脆弱性は以下の２件です。
・CVE-2026-3055
アプライアンスをSAML IDプロバイダーとして構成している場合に本脆弱性の影響を受けます。攻撃者はエンドポイントに細工したSAMLリクエスト（POSTリクエスト）を送信することで、本来アクセスできないはずのメモリ領域のデータを認証なしで読み取ることが可能となります。
・CVE-2026-4368
アプライアンスをゲートウェイ（SSL VPN、ICAプロキシ、CVPN、RDPプロキシ）またはAAA仮想サーバーとして構成している場合に本脆弱性の影響を受けます。競合状態となることでユーザーセッションが混在し、他のユーザーのセッションへ不正にアクセスされる可能性があります。
(2)攻撃の概要
今回は、CVSS値が高く、実際に悪用が確認されているCVE-2026-3055の攻撃手法についてご紹介いたします。
攻撃者はCVE-2026-3055を悪用し細工したSAMLリクエストを送信することで本来アクセスできないメモリ領域の残留データがレスポンスのCookieに混入して返却されることで機密情報が窃取される可能性があります。
なお、本脆弱性はCitrix管理のクラウド・Adaptive Authentication環境には影響せず、オンプレミス環境のみが対象となります。
【図1】 攻撃のイメージ
(3)影響を受けるシステム及びバージョン
・CVE-2026-3055
NetScaler ADCおよびNetScaler Gateway 14.1（バージョン14.1-60.58より前）
NetScaler ADCおよびNetScaler Gateway 13.1（バージョン13.1-62.23より前）
NetScaler ADC FIPSおよびNDcPP（バージョン13.1-37.262より前）
・CVE-2026-4368
NetScaler ADCおよびNetScaler Gateway 14.1-66.54
※CVE-2026-4368はビルドバージョン14.1-66.54のみに影響します。
(4)インシデント対策
本脆弱性の悪用を試みる攻撃がすでに観測されており、悪用された場合には深刻な被害を受ける可能性があります。
当該脆弱性は修正されたバージョンが既に発表されており、アップグレードにて対策を行うことが可能です。影響を受けるシステムおよびバージョンをご利用の場合は、当該脆弱性の影響を受けない修正済みバージョンへ早急にアップデートすることを推奨します。
3. まとめ
本記事では、Cloud Software Group社が提供するNetScaler ADCおよびNetScaler Gatewayに対する情報漏洩の脆弱性（CVE-2026-3055、CVE-2026-4368）の概要と対策を紹介しました。
本脆弱性はCVSS値が高く、すでに悪用を試みる攻撃が観測されているため、対象製品をご利用の場合は、対応する最新バージョンへのアップグレードを推奨します。
4. 参考情報
・JPCERT/CC
NetScaler ADCおよびNetScaler Gatewayにおける境界外読み取りの脆弱性（CVE-2026-3055）に関する注意喚起 2026年4月1日閲覧
https://www.jpcert.or.jp/at/2026/at260008.html
・Cloud Software Group社
NetScaler ADC and NetScaler Gateway Security Bulletin for CVE-2026-3055 and CVE-2026-4368 2026年4月1日閲覧
https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX696300
・watchTowr Labs
The Sequels Are Never As Good, But We're Still In Pain (Citrix NetScaler CVE-2026-3055 Memory Overread) 2026年4月1日閲覧
https://labs.watchtowr.com/the-sequels-are-never-as-good-but-were-still-in-pain-citrix-netscaler-cve-2026-3055-memory-overread/
Please, We Beg, Just One Weekend Free Of Appliances (Citrix NetScaler CVE-2026-3055 Memory Overread Part 2) 2026年4月1日閲覧
https://labs.watchtowr.com/please-we-beg-just-one-weekend-free-of-appliances-citrix-netscaler-cve-2026-3055-memory-overread-part-2/
5. SSKのセキュリティ運用監視サービスおよび脆弱性診断サービスについて
SSKでは総合セキュリティサービスとして、セキュリティ運用監視サービス、脆弱性診断サービス、デジタル・フォレンジックサービスなどのセキュリティサービスを展開しております。
セキュリティ運用監視サービスでは、24時間365日、リアルタイムでセキュリティログの有人監視を行っております。サイバー攻撃対策としてセキュリティ機器を導入しても、継続的な運用監視と分析・判断が伴わなければ十分な効果は得られません。セキュリティ運用監視サービスでは、不審な通信やアラートを継続的に分析し、迅速な通知によって、インシデント発生時に適切に対処できるよう支援いたします。
脆弱性診断サービスでは、お客様のシステムを診断し、検出された脆弱性への対策をご提案させていただいております。テレワークの常態化やIoT等のデバイスの多様化が進む昨今、特定の攻撃経路だけを想定した「境界防御」に加えて、脆弱性を把握・管理・対処する『本質防御』も必須となっています。脆弱性診断サービスのご活用により、お客様のシステムにおける脆弱性の存否が明らかになります。
デジタル・フォレンジックサービスでは、万が一のインシデント発生時に、コンピュータやセキュリティ機器などに残された情報を分析し、侵入経路や情報窃取の痕跡等を特定するフォレンジックサービスを提供しております。また、平時の備えとして証拠保全の訓練などを実施する事前アドバイザリーサービスも提供しております。
これらの総合セキュリティサービスにより、インシデントの予防と、発生時の迅速な対処を両立し、対策コストや被害の抑制に貢献します。
【参考URL】
セキュリティ運用監視サービス：
https://www.ssk-kan.co.jp/e-gate#e-gate--02
脆弱性診断サービス：
https://www.ssk-kan.co.jp/vulnerability-assessment
デジタル・フォレンジックサービス：
https://www.ssk-kan.co.jp/digital-forensics
※本資料には弊社が管理しない第三者サイトへのリンクが含まれています。各サイトの掲げる使用条件に従ってご利用ください。
リンク先のコンテンツは予告なく、変更、削除される場合があります。
※掲載した会社名、システム名、製品名は一般に各社の登録商標 または商標です。
≪お問合せ先≫
サービス＆セキュリティ株式会社
〒151-0051
東京都渋谷区千駄ヶ谷5丁目31番11号
住友不動産新宿南口ビル 16階
TEL 03-4500-4255
FAX 03-6824-9977
sales@ssk-kan.co.jp