Citrix patches NetScaler SAML zero-day exploited in attacks
2026/10/04 BleepingComputer — Citrix が公表したのは、NetScaler のサービス拒否 (DoS) の脆弱性 CVE-2026-88779 (CVSS：8.7) が、ゼロデイ攻撃で悪用されている状況である。同社は緊急アップデートをリリースし、研究者たちはリモート・コード実行への悪用について調査している。この脆弱性はメモリ・バッファに関する脆弱性に起因し、AAA 機能と SAML 認証を使用する NetScaler ADC／NetScaler Gateway アプライアンスなどに影響する。Citrix のセキュリティ・アドバイザリによると、緩和策が適用されていない NetScaler 環境に対する標的型攻撃で、この脆弱性が悪用され、サービス拒否 (DoS) が引き起こされている。
10月4日 (日) に公開したブログ記事で Citrix は、「当社として、緩和策が適用されていない NetScaler 環境に対する、サービス拒否につながる可能性のある標的型攻撃を確認している。この状態が繰り返されると、サービス利用が継続的に停止する可能性がある。当社の分析では、この問題はサービスの可用性に影響するが、顧客データの完全性への影響は確認されていない」と説明した。
Citrix は 10月4日の早朝に、ゼロデイ脆弱性 CVE-2026-88779 を修正する NetScaler ADC／NetScaler Gateway 14.1-73.41／13.1-64.28 がリリースされた。FIPS 環境の顧客に求められるのは、14.1-73.41 FIPS へのアップグレードであり、13.1 系を使用する NetScaler ADC FIPS／NDcPP の顧客には、13.1-37.282 のインストールが求められる。
Citrix は、既知の悪意の IP アドレスからのアクセスを遮断する、グローバル・デニー・リストも提供しているが、顧客に推奨されるのは、新たにリリースされたセキュリティ・アップデートの迅速なインストールである。
同社によると、ユーザー組織は SAML 認証の設定を確認することで、そのアプライアンスに対する脆弱性 CVE-2026-88779 の影響を判断できる。
- Appliance is configured as a SAML SP
add authentication samlAction
OR - Appliance is configured as a SAML IdP
add authentication samlIdPProfile
最近になって、NetScaler デバイスをアップグレードし、実環境で悪用されている別の 2 件の脆弱性を修正した組織であっても、今回の脆弱性を修正するために再度アップグレードする必要がある。Citrix は、「CVE-2026-88771 などのセキュリティ情報で示した、更新済みソフトウェア・リリースで NetScaler 環境をアップグレードしていても、上記の前提条件を満たす場合には、再度アップグレードしてほしい」と警告している。
研究者たちがコード実行の可能性を調査
Citrix は CVE-2026-88779 をサービス拒否 (DoS) の脆弱性と説明しているが、NetScaler の管理者やサイバーセキュリティ研究者たちは、リモート・コード実行への移行を示す状況を確認している。新たな攻撃が、最初に報告されたのは 10月1日 (木) である。そのときに、NetScaler の管理者たちから寄せられたのは、最近になってパッチを適用したアプライアンスが、予期せずに再起動するという報告だった。
Reddit のスレッドで、ある NetScaler 管理者が報告したのは、NetScaler 14.1-73.37 を実行する複数の顧客環境で、最新のセキュリティ・アップデートをインストール済みであるにもかかわらず、強制的な再起動が繰り返されている状況である。新しいイメージから再構築されたアプライアンスの管理者たちからも、同様の挙動が相次いで報告されている。また、別の Reddit のスレッドでは、nsaaad が繰り返しクラッシュし、NetScaler の Pitboss プロセスが再起動回数の上限に達し、アプライアンス自体も再起動すると報告されている。
その時点では、脆弱性スキャナにより、最近リリースされたファームウェアに不具合が発生しているという見方と、NetScaler デバイスの新たな脆弱性を、攻撃者が積極的に悪用しているという見方があった。
しかし、NetScaler 14.1-73.37 のデバイスで、これらのインシデントを調査した管理者の 1 人は確認したのは、IP アドレス 213.209.159[.]55 からのペイロードのダウンロードと “/v” としての保存、そして、そのファイルの実行を指示するシェルコマンドと、細工された認証ユーザー名だった。
この管理者によると、これらのリクエストは、複数の SAML 認証設定を標的とするものであり、1 台のアプライアンスで確認された 3 回の nsaaad クラッシュ・シーケンスの直前に出現したという。ただし管理者は、ログから確認できるのは悪用の試行と相関するクラッシュのみであり、コマンドの実行に成功したことまでは確認できないと強調していた。他の管理者からも、すでに 14.1-73.37 へアップグレードしたシステムを含め、同じ nsaaad／Pitboss のクラッシュ・パターンが報告された。
管理者によるクラッシュの調査が続く中、Citrix は 10月2日 (金) にセキュリティ通知を公開した。それにより説明されたのは、同社のエンジニアリング／サポートチームが、顧客が管理する NetScaler 環境の SAML 認証に関連して、新たに確認された問題を調査しているという状況である。
同社によると、影響を受ける設定には authentication samlAction／authentication samlIdPProfile のいずれかが含まれているという。問題が発生している顧客に対して Citrix が推奨するのは、サポートへの連絡である。さらに Citrix は、この問題が以前に公表された NetScaler の脆弱性とは異なることも確認した。
サイバーセキュリティ専門家の Kevin Beaumont も、パッチ適用済みの NetScaler 13.1／14.1 のハニーポットが、複数の送信元 IP アドレスからリクエストを受信した後にクラッシュしていると報告した。この活動について、同氏が指摘したのは、別の PitScaler 脆弱性であるという可能性である。その後に Beaumont は、パッチ適用済みのハニーポットの 1 台でダウンロードされたマルウェアのペイロードが実行されていることを確認し、この活動が単なるサービス拒否に留まらない可能性を指摘した。
同氏は、「ハニーポットの 1 台では、ダウンロードされた (マルウェアの) バイナリが実行されている。どちらもパッチ適用済みであるため、新たな脆弱性の悪用が発生し、無差別かつ広範囲への攻撃が仕掛けられていると判断できる。ハニーポットの 1 台は、期限切れの状態にしているため、有効な SSL 証明書すら存在しない」と述べている。
さらに同氏は、「CVE-2026-88779 は、サービス拒否につながるメモリ・オーバーフローの脆弱性と説明されているが、以前に公表された CVE-2025-6543 に似ている。その後の攻撃により、この脆弱性は、リモート・コード実行に悪用可能であることが判明した」と指摘している。
サイバーセキュリティ企業 watchTowr Labs も、NetScaler ハニーポットにおける活動の報告を調査した後に、この脆弱性の再現性を確認しているが、研究者たちは、その技術的な詳細を公表していない。
10月4日 (日) に米国 Cybersecurity and Infrastructure Security Agency (CISA) が公表したのは、NetScaler の脆弱性 CVE-2026-88779 を Known Exploited Vulnerabilities (KEV) カタログに追加したことである。これにより、この脆弱性が実環境で積極的に悪用されていることが確認され、FCEB 機関には 10月7日までの対策実施が義務付けられた。
特定機能と SAML 認証を有効化した Citrix NetScaler において、メモリ管理の不備に起因する重大なセキュリティ問題が発生しました。該当環境へ攻撃リクエストが送信されると、認証プロセスの停止／機器の予期せぬ再起動による継続的なサービス不可状態の発生／リモートからの不正なコード実行のリスクに直面します。影響を受けるアプライアンスへの修正済みバージョンへの更新／最新ファームウェアの適用／悪意ある IP アドレスからのアクセス遮断／認証設定状況の再確認が求められます。脆弱性 CVE-2026-88779 は実環境での攻撃が確認されており、CISA KEV カタログへ追加されました。最新情報の集約と迅速な対処の継続が必要とされます。
You must be logged in to post a comment.