CVE-2026-88771 および CVE-2026-88772: 野外で悪用されている重大な Citrix NetScaler ゼロデイ脆弱性

Citrixは、NetScaler ADCおよびNetScaler Gatewayに影響を与える2つの重大なゼロデイ脆弱性に対する緊急セキュリティアップデートをリリースしました。この脆弱性は、リアルワールドの攻撃で攻撃者がすでに両方の欠陥を悪用していることが確認された後にリリースされました。CVE-2026-88771およびCVE-2026-88772として追跡されているこれらの脆弱性は、それぞれCVSS v4.0スコアの9.5を持ち、脆弱なアプライアンスでの認証無しのリモートコード実行を可能にする可能性があります。

この欠陥は特に危険です。なぜなら、NetScalerアプライアンスはしばしば企業ネットワークの境界に位置し、アプリケーションの配信、VPNアクセス、認証、リモート接続を提供するからです。したがって、攻撃者にとっては外部ユーザーと内部インフラストラクチャの間の戦略的に価値のある拠点を提供することができるのです。

CVE-2026-88771は不適切な入力検証によって引き起こされ、認証されていない攻撃者がリモートで任意のコマンドを実行することを許可する可能性があります。オプション機能または特別な構成は必要ありません：脆弱なNetScaler ADCおよびGatewayの配置は、デフォルトの構成でも公開されています。

CVE-2026-88772はメモリオーバーフローバグで、リモートコードの実行またはサービス拒否を引き起こす可能性があります。攻撃にはDTLSが有効であることが必要ですが、CitrixはDTLSがVPN仮想サーバーでデフォルトで有効になっているため、多くのNetScaler Gateway配置が管理者が明示的に機能をオフにしない限り潜在的に公開されていると指摘しています。

CISAは2026年9月27日にこの2つの脆弱性をその既知の脆弱性カタログに追加しました。報告とパートナーの情報に基づき、グローバルでの悪用が確認されています。連邦市民執行部の機関は、9月30日までにCitrixの修正を適用するよう指示されました。

営業に連絡

CVE-2026-88771およびCVE-2026-88772の分析

この2つのゼロデイは、異なる技術的経路で侵害をもたらしますが、同様に深刻な結果をもたらします。

CVE-2026-88771の分析 不適切な入力検証の弱点であるCWE-20として分類されます。Citrixは、認証されていないネットワーク攻撃者が脆弱なNetScalerアプライアンスで任意のコマンドを実行するために欠陥を悪用できると述べています。

この脆弱性には特別な展開モードは必要ありません。 CVE-2026-88771は影響を与えます すべての脆弱なNetScaler ADCおよびNetScaler Gatewayのインストールに影響を与え、デフォルトの構成で実行されているシステムを含みます。

そのCVSS 4.0ベクトルは以下の通りです：

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

この脆弱性はリモートでアクセス可能で、攻撃者の特権も被害者の対話も必要とせず、機密性、完全性、可用性に対して高い影響を与える可能性があります。

CVE-2026-88772は異なる経路を取ります。この脆弱性はCWE-119、不適切なメモリバッファ境界内での操作制限として分類されています。脆弱なDTLS経路を介して引き起こされるメモリの破損は、リモートコードの実行またはサービス拒否を引き起こす可能性があります。

CVE-2026-88772の主な 詳細 は設定に関連しています。脆弱な状態は、NetScaler ADCまたはGatewayでDTLSが有効になっている場合に存在します。Citrixは特に注意を促しますが、DTLSはVPN仮想サーバーでデフォルトで有効になっています。

例えば、以下のような構成の場合：

add vpn vserver vpn1 SSL 10.0.0.0 443 -Listenpolicy NONE

DTLSを明示的に無効化していないため、VPN仮想サーバーは露出したままです。

以下のような構成を含む場合：

-dtls OFF

これは特定の脆弱性に対する設定要件を満たしません。

DTLSタイプで直接設定された他のバーチャルサーバーでも、脆弱な機能が公開される可能性があります。

このCVE-2026-88772のCVSS 4.0ベクトルは：

CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Citrixはその攻撃の複雑さをCVE-2026-88771よりも高く評価していますが、成功した侵害は認証されていないRCEを提供し、影響を受けたアプライアンスの完全な妥協に至る可能性があります。

これらの脆弱性は、以下のサポートされているNetScalerリリースに影響を及ぼし、それぞれの修正版リリースより前です。

• NetScaler ADCおよびNetScaler Gateway 14.1の14.1-73.37より前
• NetScaler ADCおよびNetScaler Gateway 13.1の13.1-64.23より前
• NetScaler ADC FIPS 14.1の14.1-73.37 FIPSより前
• NetScaler ADC FIPSおよびNDcPP 13.1の13.1-37.279より前

影響を受けたNetScalerインスタンスを使用するセキュアプライベートアクセスハイブリッドデプロイでもアップグレードが必要です。

Citrixが管理するクラウドサービスおよびCitrixが管理するAdaptive Authenticationは、Cloud Software Groupによって管理され、要求されたソフトウェアアップデートがこれらの管理されたサービスに適用されます。

公開には、以前の週末に異例の警告が続きました。CitrixがCVE識別子とパッチを公開する前に、セキュリティ研究者やインシデントレスポンダーは、インターネットに面したアプライアンスに対して悪用されている複数の未公開のNetScaler RCE脆弱性の証拠を報告しました。一部の組織は、公式の修正が提供されるまで脆弱なシステムを隔離または一時的にシャットダウンするように提案されたと報告されています。

Citrixは9月27日にCTX697096を公開し、未対応のデプロイで両方の脆弱性の悪用が観察されたことを確認しました。

正確なプライベートディスカバリーデートは公には公開されていません。また、Citrixは攻撃の責任を持つ脅威アクターを特定していないか、悪用キャンペーンの確定的な開始日を提供していません。

これらの攻撃は、エッジアプライアンスが魅力的な初期の足掛かりを提供するため、重要です。NetScalerシステムでのコマンドやコードの成功した実行は、攻撃者に永続的なペイロードを展開する、認証素材にアクセスする、トラフィックを検査する、資格情報を盗む、設定を変更する、またはアプライアンスから到達可能なシステムにピボットすることを可能にする可能性があります。

これらはアプライアンスの侵害の潜在的な結果です。Citrixは、観察されたすべての攻撃で使用された完全なポストエクスプロイトチェーンを公に文書化していません。

現在、完全に武器化された公的に独立して確認された CVE-2026-88771 PoC は、Citrixのアドバイザリや2つの要求された報告で参照されていません。これにより即時のリスクが低下することはありません：CitrixとCISAの両方が、攻撃者が実際の悪用能力を持っているとすでに確認しています。

Citrixは NetScalerコンソールセキュリティアドバイザリワークフローを通じて汎用的な侵害検出機能を提供しました。この機能にはテレメトリが必要で、クラウドサービスを使用してクラウド接続する、サポートされているオンプレミスコンソールデプロイで利用可能です。

攻撃者特有の包括的な公的セットはありません CVE-2026-88772のIOC 、たとえば、ソース素材中のIPアドレス、マルウェアハッシュ、ドメイン、コマンド文字列など。したがって、IOC一致の既知の不在を、アプライアンスがクリーンであることの証拠として扱うことは避けるべきです。

Citrixは、利用可能なチェックがすべての攻撃者技術をカバーすることはできず、すべての侵害を特定できるとは限らないと警告しています。したがって外部ログと法医学的証拠が重要です。

CVE-2026-88771およびCVE-2026-88772の緩和

Citrixは、すべての影響を受けるNetScaler ADCおよびGatewayアプライアンスを直ちにアップグレードすることを強く推奨しています。

修正版は以下の通りです：

• NetScaler ADC / Gateway 14.1-73.37またはそれ以降
• NetScaler ADC / Gateway 13.1-64.23またはそれ以降
• NetScaler ADC 14.1-FIPS 14.1-73.37 FIPSまたはそれ以降
• NetScaler ADC 13.1-FIPS / NDcPP 13.1-37.279またはそれ以降

13.1を実行している管理者は、Citrixの最新のアップグレードガイダンスも確認する必要があります。Citrixは、NetScaler変数を使用するデプロイの一部で、13.1-64.23へのアップグレード中にリブートループの問題が発生する可能性があると注意を促し、適用可能な場合は13.1-64.24を計画することを推奨しています。

CVE-2026-88771に関しては、管理者が簡単に無効化できる構成前提条件はありません。この脆弱性はデフォルトの構成に影響を与えるため、露出を低減することはベンダーの更新をインストールすることの代替にはなりません。

主な CVE-2026-88772の緩和 も修正版へのアップグレードです。管理者はさらに脆弱なDTLS状態が存在するか判断し、運用上適切な場合は、パッチが完了するまでVPN仮想サーバーでDTLSを明示的に無効にすることができます。これは、そのCVEへの露出を減少させるためのものとしてのみ見るべきであり、アプライアンスを更新するための代替として捉えるべきではありません。

すでに悪用が行われたため、守備員はこれを修正とインシデントレスポンスの両方の演習と捉えるべきです。

CVE-2026-88771の検出 は、すべてのカスタマー管理のNetScaler ADCおよびGatewayアプライアンスを特定し、その正確な実行ビルドを設定し、修正前にインターネットアクセスが可能であったかどうかを確認することから始める必要があります。

2つ目の欠陥については、セキュリティチームは、DTLSが有効なVPNまたはその他の仮想サーバー用の実行中の構成を確認する必要があります。

To CVE-2026-88772の侵害またはどちらかのゼロデイに関連する疑わしい活動を検出する際、守備側は以下を調査すべきです： exploitation or suspicious activity related to either zero-day, defenders should investigate:

• NetScalerアプライアンス上での予期しないコマンドまたはプロセス
• 正当な管理上の説明のない新たに作成または変更されたファイル
• 説明できない設定変更
• 新しいまたは変更された認証設定
• アプライアンスからの異常なアウトバウンド接続
• NetScalerから内部サーバーへの予期しない接続
• アプライアンスのクラッシュや説明のつかない再起動
• 疑わしい外部アクセスの期間中の許可されていない変更を示すタイムスタンプ
• 新たな永続化機構またはウェブアクセス可能なファイル
• アプライアンスに関連する異常な認証活動
• ローカルデバイスログと外部に保存されたSIEMやネットワークテレメトリの違い

これらの行動は調査の手掛かりであり、脆弱性に対する固有の署名ではありません。

組織はCitrixの利用可能なIOCスキャンをNetScalerコンソールを通じて実行するべきですが、そこで止まるべきではありません。Citrixは、クリーンスキャンが悪用が発生しなかったことを決定的に証明することはできないと警告しています。

アプライアンスログの外部SIEMへの転送は特に価値があります。エッジアプライアンスでコードを実行する攻撃者は、ローカルの証拠を変更または削除できる可能性がありますが、外部に保存されたファイアウォール、認証、DNS、NetFlow、プロキシ、およびSIEMの記録は侵害されたシステムの外部にあります。

CISAもまた、2つの脆弱性に対する修正ガイダンスの一環として法医学的トリアージを強調しています。

侵害が疑われる場合、推奨される対応行動には以下が含まれます：

• 影響を受けたNetScalerインスタンスからの証拠を保存
• アプライアンスを隔離
• 影響を受けた証明書とアクセスを取り消す
• アプライアンスと通信したシステムを調査
• 侵害されたデバイスを再構築
• 修正されたファームウェアリリースにアップグレード
• ローカルアカウントのパスワードを変更
• 適宜キー暗号化キーを回転させる
• 既知の良好なバックアップから復元する場合はSSL証明書を交換
• Citrixのセキュリティガイダンスに従い、再構築されたアプライアンスを強化

以前に侵害されたアプライアンスを修正することは、永続性、ウェブシェル、盗まれた資格情報、またはすでに存在するかもしれない他の攻撃者の遺物を取り除きません。

したがって、 knownで悪用された期間中に露出していた脆弱なインターネット向きアプライアンスは、追跡的な調査が必要であると見なすべきです。