是正期限が「翌日」だったCitrix NetScalerの境界外読み取り ― 猶予の中央値21日に対し、最短の1日が割り当てられた

1猶予1日という異例の指定

CISAの悪用済み脆弱性カタログ（KEV）に載る各項目には、連邦政府機関が対応を終えるべき是正期限が設定されています。2026年9月2日時点で当サイトが保持する1,687件について、追加日から期限までの猶予日数を計算すると、中央値は21日、最長は184日です。そのなかでこの項目に与えられたのは、最短にあたる1日でした。翌日までに対応せよ、という指定です。

2猶予日数の分布のなかで

期限の長短は、悪用の状況と対応の難しさを踏まえた判断の表れと読めます。21日という中央値は、月次の定期パッチ適用の周期におおむね収まる長さです。それに対して1日という指定は、次の定期作業を待たずに動けという意味になります。

3何が読み出されるのか

技術的には「境界外読み取り」と呼ばれる型で、プログラムが確保した領域の外側までメモリを読んでしまう不具合です。書き込みと違って直ちにコードが実行されるわけではありませんが、その領域にたまたま残っていた情報が応答に混ざって外へ出ていきます。認証に使われる値が含まれていれば、それだけで侵入の足がかりになりえます。

影響を受けるのは、NetScaler がゲートウェイ（VPN仮想サーバ、ICAプロキシ、CVPN、RDPプロキシ）またはAAA仮想サーバとして構成されている場合とされています。

4境界に置かれる装置の性格

VPNゲートウェイは、社外から社内へ入るための唯一の扉として置かれます。扉である以上、インターネット側から必ず到達でき、そこを通る通信には認証情報が流れます。この記録ではランサムウェアのキャンペーンでの利用も確認済みとされています。

求められる対応は、ベンダーの指示にしたがう緩和策の適用、クラウドサービスについてはBOD 22-01の該当する指針にしたがうこと、または利用の停止です。適用の可否は必ずベンダーの公式情報と自組織の環境でご確認ください。