CISA Warns of Hackers Exploiting Two Citrix NetScaler 0-Days to Execute Code Remotely
2026/10/13 CyberSecurityNews — Citrix の NetScaler ADC／NetScaler Gateway アプライアンスに存在する 2 件の深刻なゼロデイ脆弱性を悪用する攻撃者が、外部公開されたシステム上でコードを実行している。これらの脆弱性は、CVE-2026-88771／CVE-2026-88772 として追跡されており、CVSS v4 の深刻度スコアは 9.5 と評価されている。また、米国 Cybersecurity and Infrastructure Security Agency (CISA) の Known Exploited Vulnerabilities (KEV) カタログにも追加されている。CISA は、世界各地で悪用活動が行われていることを示す報告や、パートナーからの脅威インテリジェンスを受け取ったことを確認している。
パッチ未適用の顧客管理型 NetScaler 環境で、実際に悪用が発生していたことを確認した Citrix は、緊急のセキュリティ・アップデートを公開した。
この製品は、ネットワークの境界部分に配置されることが多く、アプリケーション配信／ロードバランシング／VPN 接続／安全なリモートアクセスなどを提供している。
この種のアプライアンスは、インターネット利用者と企業の内部システムの間に位置するため、侵害された場合には、攻撃者にとって価値の高い足掛かりとなり得る。
CVE-2026-88771 は、入力検証の不備に起因する脆弱性であり、脆弱な NetScaler ADC／Gateway 上での任意のコマンド実行を、未認証のリモート攻撃者に対して許す可能性がある。
この脆弱性は、デフォルト設定のデバイスを含め、すべての影響を受ける環境に存在する。さらに、この脆弱性の悪用において、追加機能の有効化は不要であるため、より広範な環境への影響が懸念される。
Citrix によると、この脆弱性は攻撃の複雑さが低いと評価されており、攻撃者はアカウントやユーザー操作を必要とせずに悪用を開始できる。
もう一方の CVE-2026-88772 は、メモリオーバーフローの脆弱性であり、リモートコード実行やサービス拒否 (DoS) を引き起こす可能性がある。
CVE-2026-88771 とは異なり、この脆弱性を悪用するには、Datagram Transport Layer Security (DTLS) が有効化されている必要がある。DTLS は、管理者が明示的に無効化していない限り、NetScaler の VPN 仮想サーバでデフォルトで有効になっている。
そのため、セキュリティチームは、リモートアクセス環境を重点的に確認する必要がある。Citrix は、NetScaler の仮想サーバにおける DTLS の有効化／無効化を管理者が確認できるよう、設定の確認方法を提供している。
今回の 2 件のゼロデイ脆弱性は、その他 6件の NetScaler の脆弱性とともに、2026年9月27日に公開された。
Citrix は、修正パッチを公開する前から、これら 2 件のリモートコード実行の脆弱性を、攻撃者が悪用していたことを確認している。
CISA の警告：Citrix NetScaler の 2 件のゼロデイ脆弱性
セキュリティ・チームにとって必要なことは、今回のアップデートを通常のパッチ適用作業としてではなく、実際のインシデント対応を要する問題として扱うことである。
以前にも Cyber Security News は、インターネットに公開された ADC／Gateway アプライアンスが直面するリスクを含め、Citrix が 2 件の NetScaler ゼロデイ脆弱性を確認したことを報じている。
Citrix のセキュリティ・アドバイザリによると、影響を受けるバージョンは以下のとおりである。
| 対象製品・系列 | 影響を受けるバージョン |
|---|---|
| NetScaler ADC／Gateway 14.1 系 | 14.1-73.37 未満 |
| NetScaler ADC／Gateway 13.1 系 | 13.1-64.23 未満 |
| NetScaler ADC 14.1-FIPS 系 | 14.1-73.37 FIPS 未満 |
| NetScaler ADC 13.1-FIPS／NDcPP 系 | 13.1-37.279 未満 |
脆弱な NetScaler インスタンスを使用している Secure Private Access Hybrid の顧客も、該当するインスタンスをアップグレードする必要がある。
その一方で、Citrix が管理するクラウド・サービスについては、Cloud Software Group が直接アップデートを適用するため、今回のアドバイザリの対象には含まれていない。
管理者にとって必要なことは、顧客側で管理しているすべての NetScaler ADC／Gateway システムを特定し、可能な限り速やかに修正版へアップグレードすることだ。特に、インターネットから直接アクセスできるアプライアンスを優先して確認すべきである。
Citrix は、以下のバージョン以降へのアップグレードを推奨している。
- NetScaler 14.1 系：14.1-73.37 以降
- NetScaler 13.1 系：13.1-64.23 以降
- FIPS／NDcPP 環境：それぞれに対応する修正済みリリース
また、DTLS が有効になっている VPN 仮想サーバなどの仮想サーバの設定を確認し、CVE-2026-88772 の影響を受けるかどうかを判断する必要がある。
CISA によると、すでにデバイスが侵害されている場合には、パッチを適用するだけでリスクを完全に排除できない可能性がある。そのため CISA が推奨するのは、アップデートを適用する前に侵害の兆候を調査し、NetScaler のログを中央の SIEM やログ保管プラットフォームへ転送することである。
NetScaler アプライアンスのローカルログは、短期間でローテーションされる場合があり、侵害の証拠が上書きされる恐れがあるためである。不審な NetScaler の活動を対象とした脅威ハンティングを支援するために、CISA は Sigma 検知ルールのリソースも公開している。
侵害が疑われる場合には、組織にとって最初に必要なのは、証拠を保全することである。保全対象には、システム・スナップショット／サポートバンドル／必要に応じたメモリデータ／リモート syslog の記録などが含まれる。
Citrix は、影響を受けたアプライアンスについて、以下の対応を推奨している。
- 侵害が疑われるアプライアンスを隔離する。
- 認証情報および保存されているシークレットを変更する。
- 証明書と秘密鍵を失効させる。
- 接続先のシステムについても侵害の有無を調査する。
- 侵害が疑われる時点より前に取得された、正常であることが確認済みのバックアップからシステムを再構築する。
その後に、復元されたパスワード／鍵暗号化キー／SSL 証明書をローテーションする必要がある。
また、今回の問題は、当初確認された 2 件の脆弱性に留まらず、さらに拡大している。
CISA は 10月9日にアラートを更新し、CVE-2026-107406 を追加するとともに、CVE-2026-88771 から CVE-2026-88779 までの脆弱性に対する、迅速なアップデートの重要性を強調している。
脆弱性 CVE-2026-88779 は、NetScaler の SAML に関連する別の欠陥であり、実環境での悪用が確認されている。
この脆弱性により、サービス拒否が引き起こされる可能性があるほか、CVE-2026-88771 の悪用により、事前に注入されたコードの実行が促されるため、強制的な再起動に利用される可能性もある。
Cyber Security News は、実際に悪用されている NetScaler の SAML 関連ゼロデイ脆弱性についても報じている。
影響を受ける組織に求められるのは、新しい NetScaler アップデートの適用である。その上で、防御担当者にとって必要になる対応は明確である。
外部公開された NetScaler システムにパッチを適用し、大きな設定変更を行う前にログを保全するとともに、認証や管理操作の履歴を調査する必要がある。また、脆弱な状態でインターネットに公開されていたデバイスについては、すでにスキャンや侵害を受けている可能性を考慮して対応すべきである。
この記事は、ネットワーク機器である NetScaler ADC および Gateway におけるゼロデイ脆弱性 CVE-2026-88771／CVE-2026-88772 が CISA KEV カタログに追加されたことを知らせるものです。入力検証の不備やメモリ管理の欠陥が存在し、すでに実環境で悪用攻撃が確認されている背景があります。影響として、リモートからの任意コード実行／システムの不法占有／サービス停止につながる恐れがあります。対応策として、最新のセキュリティ修正版への緊急更新／ログデータの退避／不正アクセスの痕跡調査が求められます。
You must be logged in to post a comment.