【ITニュース解説】NetScaler ADCおよびNetScaler Gatewayの脆弱性について (CVE-2025-7775等)

ITニュース概要

サーバーの負荷分散などに使われるNetScaler製品に、深刻な脆弱性が発見された。悪用されるとシステムを乗っ取られる危険があるため、利用者は提供された修正プログラムを至急適用する必要がある。(109文字)

ITニュース解説

企業の重要なネットワーク機器であるNetScaler ADCおよびNetScaler Gatewayにおいて、極めて深刻な脆弱性が複数発見された。これらの脆弱性は、企業のセキュリティに重大な影響を及ぼす可能性があるため、システムエンジニアは内容を正確に理解し、迅速に対応する必要がある。 まず、NetScaler ADCとNetScaler Gatewayがどのような役割を担う製品であるかを理解することが重要だ。これらは、アプリケーションデリバリーコントローラー（ADC）やVPNゲートウェイとして機能するネットワーク機器である。具体的には、ウェブサイトへのアクセスを複数のサーバーに振り分けて負荷を分散させたり（ロードバランシング）、社員が社外から安全に社内ネットワークへ接続するための入り口（VPN）を提供したりする。いわば、企業のITインフラにおける「交通整理役」や「頑丈な門」のような役割を担っており、多くの場合、インターネットからのアクセスの最前線に設置される。そのため、この機器に脆弱性が存在すると、攻撃者にとって格好の侵入口となり得る。 今回報告された脆弱性は主に三つあり、その中でも特に危険視されているのが「リモートでコードが実行される脆弱性（CVE-2025-7775）」である。これは、認証、つまりIDやパスワードによる本人確認を必要とせずに、インターネット経由の第三者が遠隔からサーバー上で任意のプログラムを動かすことを可能にするものだ。攻撃者がこの脆弱性を悪用すると、システムを完全に掌握し、内部ネットワークへの侵入の足がかりとしたり、機密情報を盗み出したり、ランサムウェアなどのマルウェアを仕掛けたりと、あらゆる破壊活動が可能になる。システムの管理者権限を奪われることに等しく、被害は甚大になる恐れがある。深刻度も最も高い「緊急（Critical）」と評価されている。 二つ目は、「情報漏えいの脆弱性（CVE-2025-7776）」だ。これも認証なしで悪用が可能であり、攻撃者はシステムの機微な情報を外部から窃取できる。この情報には、システムの設定情報や内部ネットワークの構成などが含まれる可能性があり、直接的な被害だけでなく、得られた情報を基に、より深刻な別の攻撃、例えば先述のCVE-2025-7775を悪用した攻撃などを仕掛けるための準備に利用される危険性がある。 三つ目は、「サービス運用妨害（DoS）の脆弱性（CVE-2025-7777）」である。この脆弱性を悪用されると、攻撃者は外部から機器を強制的に再起動させることが可能になる。これにより、この機器を経由しているウェブサイトやVPN接続といったすべてのサービスが停止し、正常な業務の継続が困難になる。企業のビジネスに直接的な打撃を与える深刻な問題だ。 これらの脆弱性が特に危険なのは、いずれも「認証が不要」である点にある。つまり、特別な権限を持たない不特定多数の攻撃者が、インターネットから直接攻撃を試みることができる。過去にもNetScaler製品の脆弱性は、世界中の多くの組織を標的とした大規模なサイバー攻撃に悪用された経緯があり、今回も攻撃手法が確立されれば、自動化されたツールによって広範囲のシステムが攻撃を受ける可能性が極めて高い。 システムエンジニアとして取るべき対策は明確だ。まず、自身が管理するシステムに該当するNetScaler製品が存在するかどうかを迅速に確認する必要がある。IT資産の正確な把握は、セキュリティ対策の第一歩である。もし該当製品を使用している場合は、現在稼働しているソフトウェアのバージョンを確認し、脆弱性の影響を受けるバージョンに該当するかどうかを特定する。 最も重要かつ根本的な対策は、開発元であるNetScaler社が提供している修正済みのバージョンへソフトウェアをアップデートすることだ。アップデートを適用することで、脆弱性そのものが解消される。業務への影響を考慮し、計画的に、しかし可及的速やかにアップデート作業を実施することが強く推奨される。 何らかの事情ですぐにアップデートが実施できない場合には、一時的な回避策（ワークアラウンド）が提供されている場合がある。しかし、これはあくまで応急処置であり、脆弱性が残存したままであることに変わりはない。回避策を適用している間も、恒久的な対策であるアップデートの計画を進める必要がある。 今回の脆弱性は、企業のネットワークの入り口を無防備にしてしまう、非常に危険性の高いものである。システムエンジニアは、このようなセキュリティ情報を常に注視し、その内容とリスクを正しく評価し、迅速かつ的確な対応を行うことが求められる。自社のシステムを守るために、公式情報の確認と対策の実施を徹底しなければならない。