NetScaler ADC/Gatewayの重大脆弱性とは？CVE-2025-7775を含む内容・被害事例・対策を解説

2025.08.272026.06.01

この記事は約4分で読めます。

記事内に広告が含まれています。

2025年8月、Citrix（Cloud Software Group）はNetScaler ADCおよびNetScaler Gateway製品に複数の重大な脆弱性を公表しました。特にCVE-2025-7775はゼロデイ攻撃で悪用が確認されており、影響を受ける組織は即時の対応が必要とされています。

ここでは、各脆弱性の概要と過去事例を踏まえた被害状況、そして推奨される対策を整理します。

ADC/Gatewayの脆弱性の概要

2025年8月26日に公開されたセキュリティ情報では、3件の脆弱性が対象となりました。いずれも深刻度が高く、外部からの攻撃に悪用される可能性があります。

▼ CVEについてはこちらから

この脆弱性はNetScalerをGatewayやAAAサーバとして使用し、特定のIPv6バインドを持つ場合に顕在化します。認証不要でリモートコード実行やサービス拒否を引き起こす可能性があり、CVSSは9.2のCriticalと評価されています。

Citrixはすでに本脆弱性が現実の攻撃で悪用されていると発表しており、攻撃者がWebシェルを設置するなど恒常的な侵入に繋がった事例も報告されています。公開と同時にCISAがKnown Exploited Vulnerability（KEV）カタログに追加し、緊急対策を呼びかけました。

CVE-2025-7776は、NetScalerがGateway機能を利用しPCoIPプロファイルを有効化している場合に発生します。攻撃に成功するとメモリ処理の不備から予期しない動作やクラッシュを引き起こし、サービス拒否（DoS）に至る恐れがあります。

CVSSは8.8（High）であり、現時点で悪用報告はありませんが、サービス継続性を狙った攻撃の可能性が否定できません。

この脆弱性はNetScalerの管理インタフェース（NSIPやSNIPなど）に影響し、不適切なアクセス制御により本来許されないファイルや情報に不正アクセスできてしまう恐れがあります。CVSSは8.7（High）で、現時点で攻撃の確認はありません。

しかし、管理ネットワークにアクセス可能な攻撃者にとっては強力な侵入経路となり得るため注意が必要です。

2025年8月の脆弱性では特にCVE-2025-7775の悪用が確認されており、ゼロデイ攻撃として世界的に注目を集めました。攻撃者はこの欠陥を突いてバックドアを設置し、組織内部に長期的に潜伏する可能性があると指摘されています。

過去にもNetScaler製品では深刻な事例が存在し、例えば2023年の「Citrix Bleed（CVE-2023-4966）」ではVPNセッション情報が漏洩し、MFAを回避して企業ネットワークに侵入する攻撃が多発しました。

また、2023年7月のCVE-2023-3519では認証不要のRCEがゼロデイで悪用され、Webシェルによる侵入が実際に発生しています。これらの事例は、NetScaler製品が攻撃者にとって常に重要な標的であることを示しています。

今回の3件の脆弱性に関しては、Citrixが2025年8月26日に修正パッチを提供しています。回避策は存在せず、アップデートが唯一の恒久的対策です。

影響を受けるバージョンは14.1（14.1-47.48未満）、13.1（13.1-59.22未満）、さらにFIPS/NDcPP版などで、12.1や13.0といったEOLバージョンも脆弱性を含みます。特にCVE-2025-7775は既に悪用が確認されているため、適用は最優先で行う必要があります。

加えて、既存セッションをすべて切断することや、管理インタフェースをインターネットに公開しないといった基本的なセキュリティ設定も併せて徹底すべきです。

▼ Citrix公式リリース

2025年8月に公開されたNetScaler ADCおよびNetScaler Gatewayの脆弱性は、1件がゼロデイ攻撃で実際に悪用されており、いずれも深刻度が高いものでした。特にVPNゲートウェイやAAA機能を利用している組織は影響が大きく、被害防止には迅速なパッチ適用が必須です。

過去にも同製品では重大な被害事例があり、攻撃者の主要な標的であることは明白です。管理者は最新のセキュリティ情報を常に確認し、アップデートと防御策を組み合わせて安全な運用を維持することが求められます。