Citrixは2026年11月12日、通信の振り分けを行うNetScaler ADC、社外からの接続を支えるNetScaler Gateway、管理用のNetScaler Consoleのセキュリティ更新を案内しました。対象は主に利用企業側で管理する機器・環境です。

VPNとして使っていないから対象外とは判断できません。 ADC・Gatewayには、追加機能を有効にしていない標準構成でも関係する問題があります。ネットワークの運用担当者や保守会社へ、機器ごとのバージョン確認と更新を依頼してください。ADC・Gatewayの公式告知

何が問題で、どの環境が対象か

ADC・GatewayのCVE-2026-120868は、通信処理中のメモリの扱いに関する問題で、予期しない動作やサービス停止につながるおそれがあります。公式告知では、すべてのADC・Gateway構成を前提条件として挙げています。ほかにもVPN、認証、DNSなど、利用機能によって条件の異なる問題が含まれます。

NetScaler ConsoleのCVE-2026-120869は、ConsoleのIPアドレスへアクセスできる攻撃者が、認証を回避して制限されたリソースへ到達できる問題です。管理コンソールも、通信を受ける機器と別に確認する必要があります。Consoleの公式告知

製品・系列ごとの修正版

製品・系列 修正版
ADC / Gateway 14.1 14.1-73.57以降
ADC / Gateway 13.1 13.1-64.39以降の13.1
ADC 14.1-FIPS 14.1-73.58 FIPS以降
ADC 13.1-FIPS / 13.1-NDcPP 13.1-37.293以降の該当系列
Console 14.1 14.1-74.34以降

表は公式告知の修正版をまとめたものです。通常版とFIPS・NDcPP版を混ぜず、利用中の系列に合うものを選びます。Secure Private Access Hybridで利用企業が管理するNetScalerも確認対象です。

Citrixが管理する対象クラウドサービスは、必要な更新が適用済みと案内されています。ただし、同じ企業内でも自社管理のNetScalerが残っていれば別途対応が必要です。クラウド対応と更新時の注意

更新順と業務への影響を先に確認

Citrixの案内では、ADC・Gatewayを先に更新し、Consoleを後に更新します。更新に伴い仮想アプリやデスクトップへの既存の接続（ICAセッション）が切断されるため、利用者に再接続が必要になることを伝え、業務時間と調整してください。

Consoleを使うPooled / Flexedライセンスでは、新しいライセンス認証方式（LAS）に対応していない古いビルドから更新する際、従来のファイル型ライセンスのままで延長手続きをしていないと更新を阻まれる条件があります。該当する場合は、保守窓口やパートナーに延長手続きと正しい順番を確認します。すべての環境に同じライセンス操作が必要なわけではありません。

公式ブログは、公表時点で未緩和の悪用を把握しておらず、侵害の痕跡を調べる指標は公開しないと説明しています。これは個別環境が侵害されていないことの保証ではありません。

保守会社から受け取りたい回答

「対応済み」の一言ではなく、次の情報を残すと、機器の漏れや業務影響を確認しやすくなります。

  • 対象となるADC・Gateway・Consoleの一覧と、現在の製品系列・ビルド番号。
  • Citrix管理クラウドと自社管理環境の切り分け。
  • 更新順、予定日時、接続の切断範囲、ライセンス上の事前作業。
  • 更新後のビルド番号と、リモート接続・認証・業務アプリの動作確認結果。

確認日：2026年11月13日。利用機能ごとの詳しい条件は、各製品の公式告知を参照してください。