CVE-2026-19490でNetScaler Gateway/AAA構成の認証が回避される条件と対応の順序

Citrixを擁するCloud Software Groupは2026年8月19日、セキュリティブリテンCTX696939でNetScaler ADCとNetScaler Gatewayの脆弱性2件を公表しました。うちCVE-2026-19490は、装置をGateway(SSL VPN、ICA Proxy、CVPN、RDP Proxy)またはAAA仮想サーバとして構成している場合に認証を回避されうるもので、CVSS v4.0のベーススコアは9.3です。2026年9月9日にCISAのKnown Exploited Vulnerabilities(KEV)カタログへ収載され、米連邦民生行政機関向けの是正期限は3日後の2026年9月12日に設定されました。

この記事は、自組織が影響条件に当たるかの判定方法と、パッチ適用の前後にやることを、一次情報で確認できた範囲に絞って整理します。対象読者はNetScalerを運用する情報システム担当とインフラエンジニアです。Citrixは技術詳細を公開していないため、内部機構の推測や攻撃の再現手順は示しません。設定の確認や検証は、自組織が管理する装置に対してのみ行う前提で読んでください。

2件の脆弱性の早見表#

CTX696939が扱う2件は、前提条件も欠陥の種別も別です。まず違いを並べます。

影響を受ける版と修正版の対応は次のとおりです。バージョン番号はCTX696939の記載にもとづきます。

CTX696939が公表した内容#

CTX696939はArticle IDで管理されるCitrixの公式ブリテンで、Severity of BulletinはCriticalと記載されています。Change Logは「2026-08-19 Initial publication」の1行だけで、2026年9月10日にページを取得した時点で改訂履歴は追加されていません。KEV収載後もブリテン本文は更新されていない状態です。

対象範囲の切り分けが明記されている点も押さえておきます。CTX696939は、このブリテンが顧客管理(customer-managed)のNetScaler ADCとNetScaler Gatewayにのみ適用されると述べ、Citrix管理のクラウドサービスとCitrix管理のAdaptive AuthenticationについてはCloud Software Group側が必要な更新を適用すると記載しています。あわせて、NetScalerインスタンスを利用するSecure Private Access Hybridの構成も脆弱性の影響を受けるため、推奨ビルドへのアップグレードが必要だと追記されています。自社でアプライアンスを運用していない場合でも、Secure Private Access Hybridを使っているならインスタンスの版を確認する対象に入ります。

回避策の欄はWorkarounds/Mitigating FactorsがNoneです。設定変更やアクセス制限による暫定緩和は示されておらず、Citrixが提示している対処は修正ビルドへのアップグレードだけになります。謝辞の欄には、JPMorgan Chaseのペンテストチームに所属するSamarth Vashisht氏への謝意が記載されています。

CTX696939は、Severity of BulletinをCriticalとし、CVE-2026-19490をCWE-288、CVSS v4.0で9.3、CVE-2026-19489をCWE-119、CVSS v4.0で8.8と記載しています。Workarounds/Mitigating FactorsはNone、Change Logは2026-08-19のInitial publicationのみです。

CWE-288の認証回避が意味すること#

MITREのCWE-288はAuthentication Bypass Using an Alternate Path or Channelという名称で、「製品は認証を要求するが、認証を要求しない代替の経路または通信路が存在する」と定義されています。影響としてはアクセス制御の範囲でBypass Protection Mechanismが挙げられ、緩和策としては、資源へのアクセスをひとつのチョークポイントに集約し、アクセスのたびに権限を確認することが示されています。

機構としては、認証処理を通す正規の経路とは別に、同じ機能へ到達できて認証チェックを通らない経路が残っていると、資格情報を持たない相手でも保護対象へ届く、という一点に尽きます。資格情報の窃取や総当たりを必要としないため、パスワードの強度やMFAの導入では止まりません。認証と認可の役割分担を整理しておくと、この種の欠陥がどの層で効くのかを判断しやすくなります。

あわせて読みたい

認証と認可の違い。Authentication と Authorization を基礎から整理する

CVSS v4.0のベクタは、AV:N(ネットワーク経由)、AC:L(攻撃条件の複雑さが低い)、AT:N(攻撃前提なし)、PR:N(権限不要)、UI:N(利用者操作不要)で、到達のしやすさが最大寄りに評価されています。脆弱なシステム自体への影響はVC:H、VI:H、VA:Hで機密性、完全性、可用性がいずれもHighです。一方、後続システムへの影響はSC:L、SI:L、SA:LでいずれもLowにとどまります。この配点の読み方は、NetScaler自体は完全に掌握されうるが、その先のシステムへ自動的に同じ影響が及ぶとまでは評価されていない、という理解になります。ベクタの各項目の意味は次の記事で整理しています。

あわせて読みたい

CVSSスコアの読み方と脆弱性対応の優先度付け。基本値だけで判断しないために

CVSSスコアの出どころにも注意が必要です。NVDでのCVE-2026-19490の状態は2026年9月10日時点でUndergoing Analysis、CVE-2026-19489はAwaiting Analysisで、NVDによるプライマリ評価は付与されていません。掲載されている9.3と8.8はいずれもCNAであるNetScalerが付けたSecondaryのスコアです。

MITREのCWE-288は「The product requires authentication, but the product has an alternate path or channel that does not require authentication.」と定義し、緩和策として全アクセスを単一のチョークポイントへ集約し、アクセスごとに権限を確認することを挙げています。

Citrixは、どのエンドポイントにどのようなリクエストを送ると認証が迂回されるのかを公開していません。CVEレコードのCNA説明文も「Vulnerability in NetScaler ADC and NetScaler Gateway.」と影響版の記述だけで、機構の説明は含まれていません。内部の動作を推測して書ける段階ではないため、この記事では機構を断定しません。

影響条件をビルド番号ごとに判定する#

CVE-2026-19490の前提条件は、CTX696939の記載では「装置がGateway(SSL VPN、ICA Proxy、CVPN、RDP Proxy)またはAAA仮想サーバとして構成されていること」を土台に、稼働ビルドごとの追加要件が重なる形になっています。ビルド番号で条件が切り替わるため、版だけ、あるいは構成だけを見て判断すると取りこぼします。

CTX696939は、前提条件に当たるかを設定内の文字列で確認する手順も示しています。CVE-2026-19490については、SAML actionの構成としてadd authentication samlAction.*、認証仮想サーバまたはVPN仮想サーバとしてadd authentication vserver .*またはadd vpn vserver .*を検査します。CVE-2026-19489についてはadd lsn group.*sipalg.*を検査します。

判定の結果、SAML actionが構成されているだけで該当するビルドがある点は、既存のSSO基盤の設計と直結します。NetScalerを認証の入口に据えている構成では、SAML関連の設定がどこに効いているのかを把握しておくと棚卸しが速くなります。

あわせて読みたい

SAML 2.0によるSSOの仕組みと設計の落とし穴。アサーション検証から署名鍵の保護まで

ここで避けたい判断が、SAML actionを削除すれば安全になるという短絡です。CitrixはWorkarounds/Mitigating FactorsをNoneと明記しており、構成変更を緩和策として提示していません。前提条件の判定手順は「対象かどうかを切り分けるため」の情報であって、設定を消すことで対処できるという趣旨ではありません。加えて14.1-43.55以前と13.1-61.27以前、13.1 FIPSでは、SAML actionの有無に関係なくGatewayまたはAAA仮想サーバの構成だけで該当します。

なお、カナダのCyber CentreはAL26-019で前提条件を「SAML IdPとして構成されたアプライアンス」と要約していますが、Citrixブリテンの原文はSAML actionの構成であり、IdPに限定していません。判定にはCitrixの表現を使うほうが漏れが出にくくなります。

修正版とEOM/EOL系列の扱い#

Citrixが案内する修正版は、14.1-73.32以降、13.1系の13.1-63.21以降、14.1-FIPSの14.1-73.32 FIPS以降、13.1-FIPSおよび13.1-NDcPPの13.1-37.277以降の4系統です。Cyber CentreのAL26-019が掲載する修正版の表も同じ番号を示しており、2つの情報源で一致しています。

12.1系と13.0系については、CTX696939は一切言及していません。過去のブリテンCTX694788には「NetScaler ADC and NetScaler Gateway versions 12.1 and 13.0 are now End Of Life (EOL) and no longer supported.」という注記があり、両系列がEOLでサポート対象外であることは確認できます。ただし今回のブリテンに記載がない以上、CVE-2026-19490の影響を受けるのか受けないのかはCitrixが公表していない状態です。EOL系列は修正提供の対象外であるという事実だけが確定しており、影響有無を安全側に読むならサポート対象系列への移行が前提になります。

移行の判断で効いてくるのがライフサイクルの期限です。CTX241500には「13.1 will reach EOM on 15-Sep-26 and EOL on 15-Sep-27」と記載されており、13.1系のEnd of Maintenanceは2026年9月15日です。この記事の執筆時点である2026年9月10日の直後にあたります。13.0系はEOMが2023年7月15日、EOLが2024年7月15日です。14.1系は3+3+1のリリースモデルで、Maintenance Phaseの開始が2026年第3四半期、EOMが2029年第3四半期、EOLが2030年第3四半期と記載されています。

同じCTX241500には、NetScaler Console on-premの13.1についてEOMが2026年9月15日から2026年4月15日へ改定されたという注記もあります。ADC/Gatewayの13.1とConsoleの13.1は日程が別なので、社内の資産台帳で混同しないよう分けて管理します。また、最新のEOM/EOL日はCitrixのProduct Matrixを参照するようCTX241500に書かれているため、移行計画を確定させる段階では原典を再確認してください。

CTX241500は、13.1のEOMを2026年9月15日、EOLを2027年9月15日、13.0のEOMを2023年7月15日、EOLを2024年7月15日と記載し、14.1については3+3+1モデルでEOMが2029年第3四半期、EOLが2030年第3四半期としています。NetScaler Console on-prem 13.1は別途EOMが2026年4月15日へ改定されたと注記されています。

エッジに置く装置は、外から到達できる面がそのまま攻撃面になるため、版の管理と露出面の棚卸しを定常業務として持っておく必要があります。その背景と守り方は次の記事で整理しています。

あわせて読みたい

境界に置くエッジ機器の脆弱性が侵入口として狙われる理由

CISA KEV収載とBOD 26-04が設定した是正期限#

CISAのKEVカタログには、2026年9月9日版(catalogVersion 2026.09.09)でCVE-2026-19490が追加されています。エントリはvendorProjectがCitrix、productがNetScaler、vulnerabilityNameがCitrix NetScaler Authentication Bypass Using an Alternate Path or Channel Vulnerabilityで、dateAddedが2026-09-09、dueDateが2026-09-12、knownRansomwareCampaignUseがUnknown、forensicTriageがYes、cwesがCWE-288です。requiredActionは、ベンダーの指示に従って緩和を適用したうえで、BOD 26-04の指針とForensics Triage Requirementsに従うこと、緩和が得られない場合は製品の利用を中止すること、各資産のインターネット露出を評価する責任は関係者にあること、を求めています。

BOD 26-04は「Prioritizing Security Updates Based on Risk」という名称で、ページ上の日付は2026年6月10日です。適用対象はFederal Civilian Executive Branch(連邦民生行政機関)の系統で、法定の国家安全保障システムや一部の省庁のシステムは対象外と明記されています。本文には、この指令がBOD 19-02とBOD 22-01を廃止すると書かれており、KEVの是正期限を定めていたBOD 22-01は失効しています。KEVの期限を語るときの根拠は、現在はBOD 26-04です。

是正の優先度は4つの変数で決まると規定されています。資産が公開されているかを問うAsset Exposure、CVE IDがKEVカタログにあるかを問うKEV Status、攻撃に必要な手順を全自動化できるかを問うExploit Automation、攻撃者が部分的な制御を得るのか完全な制御を得るのかを問うTechnical Impactの4つです。このうちKEV Status、Exploit Automation、Technical ImpactはVulnrichmentプログラムを通じてCISAが公開し、Asset Exposureは各機関が自ら判定します。

CVE-2026-19490について、CISA-ADPがCVEレコードに付与したSSVCの判定は、Exploitationがactive、Automatableがyes、Technical Impactがtotalです。3変数がいずれも厳しい側に振れており、KEVのdateAddedとdueDateの差が3日であることと整合します。BOD 26-04の本文には、「& forensic triage」という表記が付く区分では、3日というタイムライン内に是正または緩和を完了したうえで、システムが侵害されているかを評価するためのフォレンジックトリアージを実施する必要があると書かれています。KEVエントリのforensicTriageがYesであることは、この最短区分に該当することを示します。

優先順位づけの材料としてEPSSを併用している組織では、今回のスコアの出方が参考になります。FIRSTのEPSS APIで取得できる2026年9月9日時点の値は、CVE-2026-19490が0.0337(パーセンタイル0.880)、CVE-2026-19489が0.0039(パーセンタイル0.322)です。CVE-2026-19490のEPSSは3.4パーセント程度で、絶対値としては高くありません。それでもKEVに収載され、SSVCではExploitationがactiveと判定されています。EPSSは30日以内に悪用が観測される確率の推定であって、既に悪用が確認された事実を置き換えるものではないため、単独の判断変数にはなりません。KEVとEPSSとCVSSの役割分担は次の記事で整理しています。

あわせて読みたい

脆弱性対応の優先順位付け。CVSSだけに頼らないEPSSとCISA KEVの使い方

BOD 26-04は2026年6月10日付で、BOD 19-02とBOD 22-01を廃止すると明記し、Asset Exposure、KEV Status、Exploit Automation、Technical Impactの4変数で是正期限を決めると規定しています。「& forensic triage」の区分は3日以内の是正または緩和とフォレンジックトリアージの実施を求めます。

国内の一次情報での取り扱い#

日本国内の公的機関の扱いは、2026年9月10日時点では限定的です。JPCERT/CCのWeekly Report JPCERT-WR-2026-0826の【8】に「Citrix NetScaler ADCおよびNetScaler Gatewayに複数の脆弱性」という項目があり、情報源としてCTX696939が挙げられています。ただし概要は「複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。」という定型文で、CVE番号や悪用状況の記述はありません。Weekly Reportへの掲載は注意喚起とは別の枠組みです。

JPCERT/CCの2026年の注意喚起一覧を確認した範囲では、NetScaler関連はat260008(CVE-2026-3055)とat260024(CVE-2026-8452)の2件のみで、CVE-2026-19490またはCVE-2026-19489を対象とした注意喚起は確認できていません。JVNDBについても、MyJVNのAPIでCVE-2026-19490とCVE-2026-19489を検索したところ、いずれも該当する脆弱性対策情報はありませんという応答でした。IPAの「重要なセキュリティ情報」2026年の一覧に載っているNetScaler関連は「NetScaler ADCおよびNetScaler Gatewayの脆弱性について(CVE-2025-7775等)」のみです。

国内向けの注意喚起が出ていないことは、国内に影響がないことを意味しません。参考として、別のCVEを対象とするJPCERT/CCの注意喚起at260024には「JPCERT/CCは、本脆弱性の影響を受ける対象製品が国内で広く利用されていることを確認しています。」と書かれています。この記述はCVE-2026-8452についてのものですが、NetScalerという製品が国内で広く使われているという前提自体は、今回の判断材料にもなります。国内での被害報告の有無は、執筆時点で確認できていません。

悪用状況として確認できた範囲#

公的機関の情報として確定しているのは、CISAが2026年9月9日にCVE-2026-19490をKEVカタログへ追加したという事実です。KEVは悪用の証拠がある脆弱性を収載するカタログなので、これが公的機関による悪用確認の根拠になります。あわせて、CISA-ADPがCVEレコードへ付与したSSVCでExploitationがactiveと判定されています。

一方で、CISAは具体的な侵害事例や攻撃者グループを公表していません。KEVエントリのknownRansomwareCampaignUseもUnknownです。どの組織が侵害されたのか、どのような攻撃キャンペーンに使われたのかは、公的情報からは読み取れません。

第三者による観測としては、商用の脆弱性インテリジェンス事業者Previdianが公開しているCVE-2026-19490のページに、2026年9月9日更新時点で攻撃試行が56件、攻撃元IPが12個、攻撃元が6か国(AU、DE、JP、RO、TW、US)、初観測が2026年9月3日という数値が表示されています。ただしこれは同社1台のセンサーによる観測で、母集団の代表性はありません。観測されているのは試行であって、侵害の成立を示すものでもありません。さらに同ページのタイムラインはKEV収載日を2026年9月3日と表示しており、CISAのカタログが示すdateAdded 2026-09-09とは一致しません。参考値としての扱いにとどめるのが妥当です。

公開されている実証コードについては、第三者ページに存在が示されていますが、内容の検証はしていないため、この記事では取得先や動作の説明を書きません。Citrixが技術詳細を公開していない以上、公開コードのラベルから機構を逆算した説明も控えます。

パッチ適用の前後にやること#

まず、CTX696939にセッションの強制終了に関する指示がないという事実を押さえます。過去のブリテンCTX693420(CVE-2025-5349とCVE-2025-5777)には、HAペアやクラスタ内の全アプライアンスを修正ビルドへアップグレードしたあとでkill icaconnection -allとkill pcoipConnection -allを実行して全てのICAセッションとPCoIPセッションを終了することを推奨する、という記載がありました。今回のCTX696939には同種の記載がありません。したがって「CVE-2026-19490でもパッチ後にセッションを強制終了せよ」というCitrix公式の指示は、執筆時点では確認できません。組織の判断で追加する場合は、利用者のリモートアクセスが一斉に切れる影響を織り込んだうえで実施可否を決めることになります。

侵害が疑われる場合の手順は、Citrixが別記事CTX694799として公開しています。柱は、証拠の保全、装置の隔離、資格情報とアクセスの失効、接続先システムの調査、再構築と復元、ファームウェアの更新、設定の復元、復元した秘密情報のローテーション、ハードニングです。資格情報の失効では、NetScaler上に保存されたサービスアカウントのパスワードと秘密情報を、それぞれのシステム側で変更するよう求めています。例として挙がっているのはLDAPのサービスアカウント、RADIUSの共有シークレット、OAuthトークン、APIキー、SNMPのコミュニティ名です。GatewayやAAA仮想サーバ経由で認証された可能性のある利用者アカウントも変更対象で、装置上に保存された証明書と関連する秘密鍵は失効させるとしています。復旧後は、再構築したシステムを最低90日間は注視するよう書かれています。

証拠保全には運用上の副作用があります。CTX694799はPacket Engineのコアファイル生成手順を案内していますが、この処理ではシステムがwarm restartを行いSSH接続が切断されるという注記が付いています。証拠を採ること自体がサービス断を伴うため、採取のタイミングは業務影響と合わせて決める必要があります。あわせて、Cloud Software Groupはフォレンジック調査自体をサポートしないものの、technical support bundleを採取しておけば現在の構成や稼働中のプロセスの一覧が残り、後の分析の助けになると記載されています。同記事には、NetScalerの管理サービスをインターネットへ公開してはならないという注意も明記されています。

作業の順序を決めるうえでは、BOD 26-04の実装ガイドが示すフォレンジックトリアージの6ステップが下敷きになります。Step 1がスコーピング(KEV追加から2時間以内が目安)、Step 2が証拠の保全と収集(2時間から24時間)、Step 3が緊急パッチと安定化(2時間から24時間)、Step 4が封じ込め(6時間から24時間)、Step 5がトリアージ分析(24時間から48時間)、Step 6がエスカレーション判断(48時間から72時間)です。実装ガイドには、これらのタイムラインは推奨のベストプラクティスであり、BOD 26-04が要求するのは適切なトリアージ分析の実施であってこの時間そのものではない、という注記も付いています。

順序の設計で効く注記が3つあります。Step 3には「パッチ適用が証拠の可用性を損ないうるため、必要な証拠はこのステップの前に全て収集すること」と書かれています。Step 4には「封じ込めは攻撃者に気づかれない方法で行うこと」「早すぎる封じ込めは重要な証拠を破壊しうる」とあります。Step 1には、侵害された可能性のあるインフラに依存しない帯域外の連絡手段を用意することが挙がっています。Step 5で確認する項目は、システムやアカウントやデータへの不正アクセス、攻撃者のアクセスや存在、初期侵入経路からの横展開、永続化の仕組み、データのステージングや持ち出しの5つです。

Cyber CentreのAL26-019が挙げる推奨行動も、この流れと矛盾しません。各アプライアンスの稼働バージョンの確認、GatewayサービスまたはAAA仮想サーバとして構成された装置の特定、SAML認証の構成の確認、緊急扱いでのパッチ適用の優先、認証ログとネットワーク活動の監視、侵害が疑われる場合のCitrixのインシデント対応手順の適用、パッチ後の版の検証とログの再確認、という順序が示されています。

CTX694799は、NetScalerに保存されたLDAPサービスアカウント、RADIUS共有シークレット、OAuthトークン、APIキー、SNMPコミュニティ名の変更、装置上の証明書と秘密鍵の失効、復旧後90日間の監視、管理サービスをインターネットへ公開しないことを求めています。Packet Engineのコア生成ではwarm restartが発生しSSH接続が切断されると注記されています。

つまずき所と対処#

HAペアとクラスタの適用順とダウンタイム見積り#

修正ビルドの適用は装置単位ではなく構成単位で計画します。HAペアでは片系ずつ更新する間に版が混在し、クラスタではノードごとの適用順で切り替わりのタイミングが変わります。作業前に、切り替え時に切断されるセッションの種類と数、再接続にかかる時間、業務側で許容できる断の長さを合意しておくと、当日の判断が減ります。証拠保全のためにPacket Engineのコア生成まで行う場合は、warm restartによる断が追加で発生する点も見積もりに入れます。

FIPSとNDcPPのビルド番号の取り違え#

FIPSとNDcPPのビルドは通常系列と番号体系が異なります。今回の修正版でも、14.1-FIPSは14.1-73.32 FIPSであるのに対し、13.1-FIPSと13.1-NDcPPは13.1-37.277です。13.1-63.21という通常系列の番号と13.1-37.277という枝番は、どちらも13.1で始まるため取り違えが起きやすい組み合わせです。影響条件の表でも14.1-66.68-FIPSという別の閾値が出てきます。資産台帳では系列名とビルド番号を必ずセットで持ち、FIPS/NDcPPの別を明示的な項目にしておきます。

設定文字列の検索だけで判定を終わらせること#

CTX696939が示す文字列検索は判定の起点として有効ですが、それだけでは抜けが出ます。running configと保存済みのns.confが一致しているとは限らず、直前に投入した設定が保存されていない場合や、逆に保存済み設定が反映されていない場合があります。クラスタではノード間の設定差分も確認対象です。加えて、14.1-43.55以前や13.1-61.27以前ではSAML actionの有無に関係なく該当するため、samlActionの行が見つからないことを安全の根拠にはできません。

Gatewayを止める判断と業務影響の折り合い#

暫定対応としてGatewayを停止すれば外部からの到達は断てますが、リモートアクセスが止まります。BOD 26-04の考え方でも、インターネットから外すことは有効な緩和のひとつと位置づけられ、公開状態が変われば要求されるタイムラインも変わると説明されています。停止を選ぶ場合は、代替のアクセス手段、停止できる時間帯、復旧の判断者をあらかじめ決めておきます。決めていないと、深夜に停止の可否を誰も判断できないという状態になります。リモートアクセス手段の選定そのものを見直すなら、次の記事が参考になります。

あわせて読みたい

VPNの選び方と使うときの注意点。用途別の考え方と誇大広告に惑わされないコツ

パッチ適用と13.1系からの移行が重なること#

13.1系を運用している場合、2026年9月15日のEOMとCVE-2026-19490への対応が同じ時期に重なります。13.1-63.21へのアップグレードは今回の脆弱性への対処になりますが、EOM後の維持方針は別途決める必要があります。パッチ適用を先に済ませて時間を確保し、14.1系への移行は要件の確認と検証を含めた別の計画として立てるのが現実的です。移行計画を確定させる段階では、CTX241500が案内しているとおりProduct Matrixで最新のEOM/EOL日を再確認します。

まとめと次の一手#

CVE-2026-19490は、Gateway(SSL VPN、ICA Proxy、CVPN、RDP Proxy)またはAAA仮想サーバとして構成したNetScalerで成立する認証回避で、CVSS v4.0で9.3、CISA KEVに2026年9月9日収載、是正期限は2026年9月12日という扱いになっています。回避策は示されておらず、対処は修正ビルドへのアップグレードです。影響条件がビルド番号で切り替わるため、版と構成を突き合わせた棚卸しが出発点になります。

同じNetScalerでも、2026年6月30日公開のCTX696604で修正されたCVE-2026-8451はSAML IdP構成での境界外メモリ読み取りで、前提条件も欠陥の種別も今回とは別です。修正ビルドの世代も14.1-72.61と13.1-63.18で、今回の14.1-73.32と13.1-63.21より前になります。片方に対処済みであることが、もう片方の安全を意味しないという点に注意してください。

あわせて読みたい

CVE-2026-8451 NetScaler SAML IdPの事前認証メモリ漏えい。CitrixBleed系の新種を機構から読む

この記事の版数と前提条件、CVSSスコア、回避策の有無、謝辞、適用範囲の記述はCitrixのCTX696939にもとづきます。CWEの割り当てとSSVCの判定、NVDの分析ステータスはCVE.orgのCVEレコードとNVDの登録内容によります。KEVの収載日、是正期限、forensicTriage、requiredActionはCISAのKEVカタログの登録内容、4変数とフォレンジックトリアージの定義はBOD 26-04本文、6ステップと各ステップの注記はBOD 26-04の実装ガイドによります。CWE-288の定義と緩和策はMITREのCWE一覧、EPSSの値はFIRSTのEPSS APIの2026年9月9日時点の応答です。国内の取り扱いはJPCERT/CCのWeekly Report JPCERT-WR-2026-0826と2026年の注意喚起一覧、MyJVNの検索結果、IPAの重要なセキュリティ情報の一覧を確認した範囲です。パッチ後の推奨行動はCyber CentreのAL26-019、侵害が疑われる場合の手順はCitrixのCTX694799、セッション強制終了の記載例はCTX693420、12.1と13.0のEOL注記はCTX694788、ライフサイクルの日付はCTX241500によります。Previdianの観測値は同社の公開ページの表示であり、公的な一次情報ではありません。