Citrix NetScaler RCE 脆弱性 CVE-2026-88771：Web シェルやマルウェアの配布で悪用

Hackers Exploit Critical Citrix NetScaler RCE Flaw to Deploy Web Shells and Malware

2026/10/23 CyberSecurityNews — Citrix の NetScaler ADC／NetScaler Gateway に存在する、深刻な脆弱性を悪用する攻撃者が、インターネットに公開されたアプライアンス上で、コマンド実行や Web シェルの設置、マルウェアの配布などを行っている。この脆弱性 CVE-2026-88771 を悪用する未認証のリモート攻撃者は、任意のコマンドを実行できる。Citrix は 2026年9月27日の時点で、この脆弱性を公表し、セキュリティ・アップデートが適用されていないアプライアンスでの悪用を確認していた。Zscaler ThreatLabz のレポートによると、この脆弱性の深刻度は CVSS v3.1 で 9.8、CVSS v4.0 で 9.5 と評価されている。

NetScaler デバイスは企業のネットワーク境界に設置され、リモートアクセスやアプリケーション・トラフィックを処理することが多いため、今回の攻撃活動は極めて懸念されるものである。Web シェルの設置に成功した攻撃者は、侵害したアプライアンスへの再アクセスを可能にし、マルウェアの埋め込みなどにより、追加の侵入拠点を確保する恐れがある。

今回の攻撃キャンペーンが示すのは、パッチの適用だけでは十分ではないケースがあることだ。すでに攻撃者が、ファイル／設定／システムログなどを変更している状況を、ユーザー組織は想定すべきである。

Zscaler ThreatLabz の研究者たちが特定したのは、ログポイズニング／コマンド実行／Web シェルの設置などに、FreeBSD 向けマルウェアの配布を組み合わせる、段階的な攻撃チェーンの存在である。

CVE-2026-88771 の技術分析によると、攻撃者は最初に、エンコードされたデータを Web アクセスログに記録させ、その後に、脆弱な診断処理を起動するよう細工された、認証リクエストを送信していた。

Citrix NetScaler の深刻な RCE 脆弱性の悪用

観測された攻撃では、NetScaler の一般的な Web パスに対する HTTP リクエストの User-Agent フィールドに、特徴的な INDEX: マーカーとエンコードされたデータが含まれていた。

これらのリクエストは、攻撃者が制御するデータをアクセスログに書き込ませることを目的としていた。つまり、最初のリクエスト自体が、攻撃ペイロード全体を実行するわけではない。

続いて攻撃者は、Packet Processing Engine (PPE) の障害メッセージを装う文字列を取り込んだ、認証リクエストを送信した。その後に、脆弱な Perl 診断スクリプトが、該当するログエントリを処理した。

このスクリプトは、偽造されたメッセージに含まれる攻撃者制御の文字を安全に処理できなかったと、Zscaler は述べている。スクリプトが不正なログエントリを処理すると、そこに追加されたコマンドが、スクリプトの権限で実行される可能性があった。

このように、ログへのデータ書き込みと実際のコマンド実行の間に時間差があるため、一見すると通常の Web アクセスやログイン・トラフィックに見えるリクエストであっても、アプライアンスを侵害する一連の攻撃を構成する可能性がある。

Attack chain (Source - Zscaler)
Attack chain (Source – Zscaler)

観測されたペイロードは、Web 経由でアクセス可能なファイルを作成し、Web サーバーで PHP または Perl の処理を有効にした上で、次のファイルを設置しようとしていた。

  • Nx_7508.php
  • Nx_7508.pl

研究者が確認したものには、kw2-freebsd-x64-s11 という名前の 64 ビット FreeBSD 向けバイナリをダウンロードし、実行しようとする動作も含まれる。

StyleSmuggler と呼ばれる CVE-2026-75650 を悪用する、このダウンロード用インフラが、Magento／Adobe Commerce を標的とする攻撃活動でも確認されていたと、Zscaler は報告している。

ただし、インフラの重複は調査上の手掛かりに過ぎず、両方の攻撃キャンペーンが同じ脅威アクターにより実行されたことを証明するものではない。

NetScaler の脆弱性を悪用し、Web シェルを設置する攻撃は、今回が初めてではない。以前にも Cyber Security News は、侵害された Citrix NetScaler に設置された Web シェルや、Citrix NetScaler のゼロデイ脆弱性とマルウェアを利用した別の攻撃キャンペーンについて報じている。

これらの過去の報告は参考情報となるが、今回とは異なるインシデントを扱っているため、同じ攻撃者が関与している証拠として扱うべきではない。

組織が実施すべき対策

Zscaler のレポートに記載されている Citrix の修正済みビルドは、以下のとおりである。

製品・ブランチ修正済みバージョン
NetScaler ADC / Gateway 14.114.1-73.46 以降
NetScaler ADC / Gateway 13.113.1-64.29 以降
NetScaler 14.1-FIPS14.1-73.46 FIPS 以降
NetScaler 13.1-FIPS13.1.37.283 以降
NetScaler 13.1-NDcPP13.1.37.283 以降

管理者にとって必要なことは、使用している製品に対応する正しい修正済みビルドを確認し、速やかにアップグレードすることである。なお、アップデートを実施する前に、可能な範囲で以下の証拠を保全すべきである。

  • リモート syslog のデータ
  • テクニカルサポート用の診断バンドル
  • 取得可能なコアダンプ

その後に、認証ログおよび Web アクセスログを調査し、次のような不審な兆候を確認する必要がある。

  • User-Agent に含まれる INDEX: マーカー
  • 偽造された pitboss PPE 障害メッセージ
  • 後述するパスへの予期しないリクエスト
  • アプライアンスから未知のホストに対して開始された通信

また、承認されていない Web ファイル／変更された Web サーバ設定／不審なプロセスについても確認する必要がある。

侵害が疑われる場合には、証拠を保全しながらアプライアンスを隔離し、そのアプライアンスからアクセス可能だった認証情報／トークン／証明書などを、変更すべきである。

なお、パッチの適用により、この脆弱性を悪用する新たな攻撃を防ぐことが可能である。しかし、すでに設置された Web シェルやマルウェアを、パッチ適用だけで削除できるわけではない。

別の重大な NetScaler の脆弱性や、過去の NetScaler に対する攻撃に関する報告も、今回の攻撃活動と以前の事例を比較するうえで参考になる。

ただし、それぞれの脆弱性や攻撃キャンペーンは異なるため、インシデント対応担当者に求められるのは、今回の事例に対応する以下の IoC を使用し、脆弱性ごとに該当するベンダーのガイダンスを確認することである。

Indicators of compromise (IoCs):-
TypeIndicatorContext
Source IP45.153.212[.]101Reported source address
Source IP46.233.40[.]20Reported source address
Source IP46.236.167[.]143Reported source address
Source IP46.33.33[.]95Reported source address
Source IP49.150.197[.]119Reported source address
Source IP78.190.152[.]64Reported source address
Source IP81.10.79[.]197Reported source address
Source IP82.167.14[.]7Reported source address
Source IP95.105.74[.]172Reported source address
Source IP100.38.125[.]66Reported source address
Source IP102.213.132[.]123Reported source address
Source IP102.222.146[.]45Reported source address
Source IP103.181.212[.]245Reported source address
Source IP103.197.249[.]161Reported source address
Source IP103.83.146[.]100Reported source address
Source IP111.92.128[.]89Reported source address
Source IP114.145.49[.]215Reported source address
Source IP120.244.160[.]182Reported source address
Source IP125.62.88[.]26Reported source address
Source IP130.12.182[.]7Reported source address
Source IP154.183.158[.]198Reported source address
Source IP154.241.254[.]9Reported source address
Source IP174.60.63[.]37Reported source address
Source IP177.52.203[.]23Reported source address
Source IP183.63.88[.]227Reported source address
Source IP190.117.56[.]56Reported source address
Source IP195.62.37[.]119Reported source address
Source IP207.48.184[.]10Reported source address
Download server209.141.43[.]95Server linked to the FreeBSD payload download
Downloaded filekw2-freebsd-x64-s11FreeBSD x64 implant filename
File path/var/kw2s11Reported malware destination path
Web shell / file namesNx_7508.php, Nx_7508.plNames used in observed deployment attempts
Fingerprint fileNx_7508.htmlName used in observed appliance fingerprinting
User-Agent markerINDEX:Marker associated with staged content in access logs
Authentication log markerpitboss PPEForged failure text observed in crafted requests
HTTP path/logon/LogonPoint/tmindex.htmlObserved request path
HTTP path/logon/LogonPoint/index.htmlObserved request path
HTTP path/vpn/index.htmlObserved request path
HTTP path/logon/tmindex.htmlObserved request path
Authentication path/nf/auth/doAuthentication.doObserved request path
Authentication path/cgi/loginObserved request path

注： IP アドレスおよびドメインは、意図しない名前解決やハイパーリンク化を防ぐため、[.] などを使用して意図的に無効化（Defang）されている。有効な形式への復元（Re-fang）は、MISP／VirusTotal／SIEM など、管理された脅威インテリジェンス環境内でのみ実施すること。

この記事は、アプリケーション配信制御基盤である Citrix NetScaler ADC および NetScaler Gateway における不正な遠隔命令実行とそれ悪用した悪意あるプログラムの設置について解説するものです。不正な診断処理やアクセス記録処理への入力検証不備が背景に存在します。影響として、装置内部での命令実行／バックドア用プログラムの配置／悪意あるファイルの読み込みが生じる恐れがあります。対応策として、最新更新プログラムへの早期変更／侵入痕跡の事前調査／ログ情報の監視／権限情報の変更が求められます。