社外からの接続にNetScalerを使っていますか。更新する機器と再開前の確認

運用者と機器の系列を確かめ、修正版を選ぶ

NetScaler（ネットスケーラー）のADC（エー・ディー・シー）はWebサイトや業務アプリへの通信を振り分け、Gateway（ゲートウェイ）は社外から社内へつなぐ入口を担います。機器をまとめて管理するNetScaler Consoleは別の告知で、対象と修正版が異なります。

下表は、自社や委託先が運用する機器の修正を含む最初のビルドです。ビルドは配布物を区別する版番号です。各行のビルドより前の対象版から、同じ系列の修正済みビルドへ更新します。FIPS（フィップス）やNDcPP（エヌディーシーピーピー）は別系列です。サポート状況が分からない版は、委託先やメーカーに更新経路を確かめます。

通常版の12.1と13.0は、Citrixがサポート終了を案内しています。古い機器は、保守会社と対応する系列への移行を計画してください。

Citrixは、同社が管理する対象クラウドサービスを更新済みと案内しています。クラウドと自社の機器を組み合わせるSecure Private Access Hybridでは、利用企業側が運用するNetScaler機器も対象です。契約名だけで判断せず、どの機器を誰が更新するかを聞いてください。

標準設定でも対象。遠隔接続の入口から優先順位を決める

CVE-2026-120868は、通信を処理する部分にあるメモリーの問題です。追加機能も認証も不要で、影響を受ける機器が異常な動作をしたり、サービスが止まったりするおそれがあります。CERT-EU（サート・イーユー）は、インターネットから接続できるGatewayとAAAの機器を優先して更新するよう案内しています。AAA（エー・エー・エー）は接続時の本人確認や権限の処理を担います。

11月13日の確認時点で、Citrixは今回の問題の悪用を把握していません。下表はCitrixの告知でCVSS（シー・ブイ・エス・エス、深刻度の指標）4.0が9以上の9件です。別の機能を使っていない場合も、対象版なら標準設定に関わる問題への更新が必要です。

CVE（シー・ブイ・イー）は脆弱性の識別番号です。設定名の詳細は保守担当者がCitrixの告知と照合してください。今回の告知は異常動作やサービス停止の可能性を示しています。実際の侵害や自社の停止時間は、接続・機器の状態と記録で確認します。

接続を切る時間、代わりの作業、戻し方を先に決める

1. 止まる業務と連絡手段を挙げる。 社外からの受注処理、取引先の接続、Webへの通信のどれがこの機器を通るかを確かめます。Citrixは今回の更新後に既存のICA（アイ・シー・エー、遠隔の画面操作）セッションが切れると案内しています。利用者に作業の保存と再接続の時刻を知らせ、代替窓口と保守担当の工数を決めます。必要な接続を守りながら、更新まで外部からの到達範囲を絞れるかも相談します。
2. 設定と記録を確保し、更新の順序を決める。 現在の稼働版・設定・証明書・ライセンスの控えと復旧先を確認します。不審な接続や設定変更があれば、記録を保全し、初期化や復元の前に調査担当へ連絡します。HA（エイチ・エー、予備機への切り替え構成）はメーカー手順で待機側から進め、切り替え時の接続への影響を見積もります。ADC・GatewayとConsoleの両方を運用する場合、今回はADC・Gatewayを先に更新します。
3. 利用者の接続を試してから再開する。 更新後は各機器の版、待機機を使う場合は同期と切り替え、社外からのログイン、必要な業務アプリとWebへの接続、通知を確認します。失敗時は事前に確かめた復旧手順を使い、対象の旧版を一時的に戻す必要があれば、外部公開の可否を保守担当と判断します。

保守会社に、そのまま聞ける一文

当社の社外接続やWebの通信にNetScaler ADC・Gatewayを使っていますか。運用者、稼働中の系列と版、外部からつながる範囲を教えてください。対象なら修正版、作業時間、接続を切る時間、代わりの窓口、戻し方と再開時に試す操作を確認したいです。

自社で確認できるセキュリティ対策を見る →

更新や復旧に関する支援範囲を見る →