Citrix NetScaler と Kemp LoadMaster の重大脆弱性、Cloudflare WAF が即ブロック！

こんにちは、しぃちゃんだよ！今日は見逃せない重大な脆弱性への対応があったから、みんなに紹介するね。

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog に、WAF の定例リリース「WAF Release - 2026-07-14」が出たよ。今回は重要インフラ機器を狙う 2 件の脆弱性に対して、新しい検知ルールが追加されたの。

• Citrix NetScaler ADC / NetScaler Gateway の未認証メモリ情報漏えい脆弱性（CVE-2026-8451）
• Progress Kemp LoadMaster の認証前リモートコード実行（RCE）脆弱性（CVE-2026-8037）

どちらも Cloudflare Managed Ruleset に新規ルールとして追加された、深刻度の高い脆弱性への対応だよ。

今までどうだったの？

Cloudflare の Managed Ruleset は、こうして新しい脆弱性が見つかるたびに検知ルールが足されていく仕組みだよ。利用者が自分でルールを書かなくても、Cloudflare 側が守りをアップデートしてくれるから安心なの。今回もそんな定例メンテナンスの 1 回なんだけど、対象がネットワーク機器の重大な脆弱性 2 件だから、いつも以上に注目度が高いリリースなんだ。

これで何が変わるの？

今回追加された 2 つのルールは、どちらも新規の検知として Log ではなく最初から Block（ブロック）で有効になっているよ。つまり、該当する攻撃パターンのリクエストが来たら、記録するだけじゃなくてその場で遮断してくれるってこと。Citrix NetScaler や Kemp LoadMaster を自社インフラで使っている、あるいはその前段に Cloudflare を置いているみんなにとっては、追加の作業なしで守りが強化される形になるよ。

深く潜ってみよう

原文の説明から、それぞれの脆弱性の中身を詳しく見てみるね。

CVE-2026-8451（Citrix NetScaler ADC / Gateway）

SAML の IdP（Identity Provider）として設定された NetScaler ADC / Gateway アプライアンスが対象。入力検証が不十分なことが原因で、原文ではこう説明されているよ。

Remote, unauthenticated attackers can exploit this flaw by sending malformed requests to trigger a memory overread, allowing them to leak chunks of sensitive data from adjacent appliance memory.

認証なしのリモート攻撃者が、不正な形式のリクエストを送るだけでメモリオーバーリードを引き起こし、隣接するメモリ領域から機密データの断片を漏えいさせられてしまう、っていう脆弱性なんだって。

CVE-2026-8037（Progress Kemp LoadMaster）

こちらは Progress Kemp LoadMaster のロードバランサーに存在する、OS コマンドインジェクションの脆弱性。認証なしのリモート攻撃者がリモートコード実行（RCE）を達成できてしまう、深刻度クリティカルの脆弱性だよ。

どちらのルールも Cloudflare Managed Ruleset の新規検知で、動作は Log から Block に設定されているの。

まとめ

• Cloudflare Managed Ruleset に 2026-07-14 付けの WAF リリースが入ったよ
• Citrix NetScaler ADC / Gateway のメモリ情報漏えい脆弱性（CVE-2026-8451）に新規の Block ルールが追加された
• Progress Kemp LoadMaster の認証前 RCE 脆弱性（CVE-2026-8037）にも新規の Block ルールが追加された
• Cloudflare Managed Ruleset を使っているみんなは自動で守りが更新されるけど、特に Citrix NetScaler や Kemp LoadMaster を運用しているエンジニアは、自社での対応状況も合わせてチェックしておくといいよ。