「Citrix NetScaler」に28件、「Apache」にRCE脆弱性――今朝の情シスニュース

「NetScaler」の脆弱性28件と「Apache HTTP Server」の深刻な脆弱性が修正された。ChromeとZoomの更新、「Microsoft 365」の変更も確認したい。

セキュリティ

1. NetScaler ADC、NetScaler Gatewayの脆弱性28件を修正（重要度：大）

何が起きた：Cloud Software Group（Citrixブランドの運営元）は2026年11月12日（現地時間）、「Citrix NetScaler ADC」と「Citrix NetScaler Gateway」の脆弱（ぜいじゃく）性28件の修正を発表した。標準設定を含む全環境が影響を受ける脆弱性も含まれる。

詳細：修正を発表したセキュリティ情報「CTX697305」によると、28件のうち9件はCVSS 4.0のスコアが9.0以上で、最も高いのは「CVE-2026-107412」（9.5）だ。「CVE-2026-120868」（9.3）はパケット処理におけるメモリオーバーフローで、標準設定を含む全てのNetScaler ADC、NetScaler Gatewayが影響を受ける。影響は予測できない動作やサービス妨害（DoS）とされている。2026年11月13日時点で、セキュリティ情報に悪用状況の記載はない。修正版は以下の通り。

• NetScaler ADC、NetScaler Gateway 14.1-73.57以降
• NetScaler ADC、NetScaler Gateway 13.1-64.39以降
• NetScaler ADCのFIPS版 14.1-73.58 FIPS以降
• NetScaler ADCのFIPS版、NDcPP版 13.1-37.293以降

影響を受ける人：NetScaler ADC、NetScaler Gatewayを自社で運用している企業（CitrixのクラウドサービスはCloud Software Groupが更新する）。NetScaler ADC、NetScaler Gatewayを使う「Citrix Secure Private Access」のハイブリッド構成も対象になる。

---

2. Apache HTTP Server 2.4.71でHTTP/2の深刻な脆弱性を修正（重要度：大）

何が起きた：Apache Software Foundationは2026年11月11日（現地時間）、Apache HTTP Server 2.4.71を公開し、HTTP/2通信を処理するモジュール「mod_http2」の深刻度「Critical」の脆弱性を修正した。リモートコード実行（RCE）につながる恐れがある。

詳細：脆弱性は「CVE-2026-119618」で、同時に処理する共有リソースの同期が不適切なことに起因する。影響を受けるのはApache HTTP Server 2.4.55〜2.4.70と、GitHubで配布されている「mod_h2」2.0.8〜2.0.42だ。Apache HTTP Server 2.4.71では「mod_md」の脆弱性「CVE-2026-106023」（深刻度：Important）と「mod_vhost_alias」の脆弱性「CVE-2026-109163」（深刻度：Low）も修正した。2026年11月13日時点で、Apache Software Foundationの一次ソースに悪用の記述はない。

影響を受ける人：Apache HTTP Server 2.4.55〜2.4.70を運用している企業。脆弱性はmod_http2にある。OSのパッケージやアプライアンス、製品に同梱されたApache HTTP Serverを使っている場合も対象になり得る。

---

3. Chrome 157の更新で83件のセキュリティ修正（重要度：中）

何が起きた：Googleは2026年11月11日（米国時間）、Webブラウザ「Google Chrome」の安定版を157.0.8103.78（Windows、macOS向けは157.0.8103.78、157.0.8103.79）に更新した。83件のセキュリティ修正を含む。

詳細：83件のうち5件は深刻度「Critical」で、いずれも「ServiceWorker」「CSS」「Layout」「Skia」「Accessibility」のメモリ解放後使用（Use-after-free）の脆弱性だ。同日、拡張安定版もWindows、macOS向けに156.0.8078.100へ更新した（セキュリティ修正72件）。2026年11月13日時点で、Googleは今回の修正について悪用の有無に言及していない。

影響を受ける人：Chromeを業務で使う全ての企業。特に配布タイミングを管理ツールで制御している企業や、拡張安定版を使っている企業。

---

4. Zoom Workplace for WindowsにCVSS 9.6の脆弱性（重要度：中）

何が起きた：Zoom Communicationsは2026年11月10日（米国時間）、Web会議ツール「Zoom Workplace」のWindows版「Zoom Workplace for Windows」の脆弱性「CVE-2026-108186」（CVSS 3.1のスコア9.6）を公表した。認証されていない攻撃者がネットワーク経由で権限昇格できる恐れがある。

詳細：セキュリティ情報「ZSB-26023」によると、原因は入力値検証の不備で、深刻度はCritical。悪用にはユーザーの操作が必要だ。影響を受けるのはZoom Workplace for Windowsの7.1.0以降、7.1.8未満のバージョンだ。2026年11月13日時点で、セキュリティ情報に悪用状況の記載はない。

影響を受ける人：Zoom Workplace for Windowsを利用する企業。

---

運用、契約に影響する変更

5. Microsoft 365の「対象指定リリース」が設定変更不可に（重要度：小）

何が起きた：Microsoftは、Microsoft 365の新機能を先行して受け取る「対象指定リリース」（Targeted release）を2027年1月に廃止する。2026年11月には、管理者は対象指定リリースへのユーザーの追加、削除、登録内容の変更ができなくなる。

詳細：今後は「Frontier」「標準リリース」「延期リリース」の3つの選択肢に移行し、同月中にMicrosoft 365管理センターでこれらをまとめて設定できる画面を提供する。廃止後、対象指定リリースに登録していたユーザーは、自社の標準リリースまたは延期リリースの設定に従って機能を受け取る。

影響を受ける人：Microsoft 365管理センターで対象指定リリースを設定している企業の管理者。対象はMicrosoft 365管理センター、「Microsoft Teams」「OneDrive」「SharePoint Online」「Outlook on the web」「新しいOutlook for Windows」「Office for the web」だ。「Microsoft 365 Apps」の更新チャネルやWindowsの更新チャネルは影響を受けない。

今朝の情シスニュース

情シスが今朝知っておくべきニュースを、悪用が確認された脆弱性やサポート終了など、作業や判断が必要なものを中心に毎朝5本選んで紹介。各ニュースに関して、すぐに確認すべき事項も記載する。

この連載の記事をもっと見る

新着ホワイトペーパー PR

• 技術文書・技術解説
  [日本オラクル株式会社] AI活用の停滞原因は「人材不足」ではない　真の課題と活用推進の要点
• 市場調査・トレンド
  [日本オラクル株式会社] 経理のExcel依存に悩む情シスへ　現場の抵抗を抑えてDXを加速させる戦略
• 市場調査・トレンド
  [日本オラクル株式会社] 企業の基幹業務を変革、「ERP×AI」がもたらす価値とIT自動化のメリット
• 市場調査・トレンド
  [日本オラクル株式会社] 財務・経理を変える生成AIの8つの活用術　ROIで見る導入効果の実態とは？
• 市場調査・トレンド
  [富士ソフト株式会社] AIエージェントで変わるB2B取引、企業は今から何を備えるべきか