CVE-2026-88779: Citrix NetScalerのゼロデイ攻撃がSAMLデプロイメントに対して利用される

Citrixがアクティブに利用されているNetScalerの脆弱性CVE-2026-88771とCVE-2026-88772に対応してから数日後、防御者は別の緊急のセキュリティ問題に直面しました。新たに公開された脆弱性CVE-2026-88779は、SAML認証に設定されている顧客管理のNetScaler ADCおよびNetScaler Gatewayアプライアンスを標的とした攻撃で悪用されています。

Citrixはこの脆弱性をCVSS v4.0スコア8.7で高い深刻度と評価しています。ベンダーはこれを、認証やユーザー操作なしでリモートから引き起こされるメモリオーバーフロー問題と説明しています。繰り返しの悪用により、脆弱なサービスが利用できなくなり、NetScalerに依存する組織に大きな運用リスクを与える可能性があります。

この脆弱性は、組織が以前のNetScalerゼロデイに対応している間に悪用が始まったため、追加の注目を集めています。CISAはこの欠陥を知られている悪用脆弱性のカタログに追加し、米国連邦機関に対し2026年10月7日までに影響を受けたシステムを修正するように指示しました。

CVE-2026-88779の検出コンテンツを探しているセキュリティチームは、SOC PrimeのAIネイティブ検出インテリジェンスプラットフォームを利用して、新しい悪用活動をカバーする行動ベースの検出ルールやハンティングクエリにアクセスできます。クリックして 検出を探索 して、MITRE ATT&CK®にマップされ、複数のSIEM、EDR、およびデータレイク技術と互換性のある関連検出コンテンツにアクセスしてください。

防御者はまた、最新の脅威インテリジェンスとCVE-2026-88779 IOCをハンティングクエリに変換し、検出ロジックを生成し、ルールを検証し、複数のセキュリティプラットフォーム間で検出コードを翻訳することで、Uncoder AIを使用して脅威研究と検出エンジニアリングを加速することができます。

営業に連絡

CVE-2026-88779の分析

CVE-2026-88779に影響を受ける 顧客管理のCitrix NetScaler ADCとNetScaler Gatewayアプライアンスは、SAMLサービスプロバイダ(SP)またはSAMLアイデンティティプロバイダ(IdP)として設定されている場合に影響を受けます。Citrixは、この基礎にある弱点をCWE-119、メモリバッファ境界内の操作の不適切な制限として分類しています。

ベンダーによると、管理者は、SAML SP機能を示す認証samlActionの追加、またはSAML IdP構成を示す認証samlIdPProfileの追加をチェックすることで、自分の展開が悪用の前提条件を満たしているかどうかを判断できるとしています。これらの条件のいずれも満たしていない展開は、アドバイザリで説明されている脆弱性パスを通して露出しません。

Citrixは、対処されていないインストールに対する標的攻撃を観測したことを確認しました。成功した悪用はサービス拒否を引き起こす可能性があり、トリガーの条件が繰り返し呼び出されると、影響を受けたサービスは利用できなくなる可能性があります。重要なのは、Citrixは調査によって可用性への影響を特定したが、顧客データの整合性への影響は見つからなかったと述べています。

管理者がすでに以前のCVE-2026-88771とCVE-2026-88772の脆弱性に対処するビルドに更新したNetScalerアプライアンスの予期しない再起動を報告した後、この脆弱性はさらなる精査を引きつけました。SecurityWeekは、ユーザ名フィールドに埋め込まれたシェルコマンドを含む認証リクエストの観測を報告し、研究者Kevin Beaumontは、パッチ適用されたハニーポットシステムに対する悪用試行を観測し、ハニーポットの一つにダウンロードされたマルウェアバイナリを報告しました。

これらの観測は、悪用がサービス拒否を超えて広がる可能性があるかどうかの疑問を引き起こしました。しかし、利用可能な公衆の証拠は、リモートコード実行がこの脆弱性の確認された影響として確立されていません。Citrixのアドバイザリはこの問題をメモリオーバーフローによるサービス拒否に特化した説明を続けており、ウェブシェルを配備するためのスクリプトやアプライアンスデータを取得することを意図した報告は、それらのペイロードがこの欠陥を通して実行されたとは確立していません。

2026年10月5日時点で、防御者が確認すべき信頼性のあるリモートコード実行の証明として解釈される広く文書化された公のCVE-2026-88779 PoCはありません。したがって、組織は確認されたベンダーの発見を進行中の第三者の調査から区別し、既に野外での悪用が確認されているため、この脆弱性を即時のパッチ適用の優先事項として扱うべきです。

CVE-2026-88779の技術的な詳細をレビューする防御者にとって、リスクは特に重大です。NetScalerアプライアンスは一般的にインターネットに接続されているインフラストラクチャであり、重要な認証およびアプリケーションアクセスサービスを提供できるためです。このようなシステムに対する可用性のみの攻撃であっても、リモートアクセス、認証フロー、またはビジネスアプリケーションに大規模な混乱を引き起こす可能性があります。

セキュリティーチームは、予期しないNetScalerサービスクラッシュまたは繰り返されるアプライアンスの再起動を、不審なSAML認証活動、異常なリクエスト、および中断の直前に発生するネットワーク接続と相関させ、CVE-2026-88779の攻撃を検出すべきです。ペイロード取得の兆候、無許可の構成変更、または予期しないファイルがあれば、単なるDoS活動としてではなく、より広範なインシデント対応調査を始動させるべきです。

CVE-2026-88779の緩和

Citrixは影響を受けた顧客管理のNetScaler ADCおよびNetScaler Gatewayアプライアンスをできるだけ早くアップグレードすることを強く推奨します。修正済みのリリースはNetScaler ADCおよびNetScaler Gateway 14.1-73.41以降; 13.1-64.28以降; NetScaler ADC 14.1-FIPS 14.1-73.41 FIPS以降; およびNetScaler ADC 13.1-FIPSおよび13.1-NDcPP 13.1-37.282以降です。

影響を受けるNetScalerインスタンスを使用しているセキュアプライベートアクセスのハイブリッド展開もアップグレードする必要があります。Citrixが管理するクラウドサービスおよびCitrixが管理するアダプティブ認証はCloud Software Groupによって対応され、ベンダーから必要なアップデートを受け取ります。

既に悪用が観測されているため、セキュリティアップデートの適用は、モニタリングや一時的な構成変更にのみ依存するのではなく、CVE-2026-88779の主な緩和策として扱うべきです。管理者はまず、SAML SPまたはSAML IdPの機能が有効になっているかどうかを判断し、それらの前提条件を満たすインターネットに接続されたアプライアンスを優先するべきです。

組織はまた、パッチ適用前に説明のつかないクラッシュや再起動が発生したアプライアンスを調査するべきです。SecurityWeekの報道によれば、一部の攻撃トラフィックは疑わしいコマンドのような内容を含んでおり、研究者は調査中にマルウェア関連の活動を観測しました。これは脆弱性を通じたコード実行を証明するものではありませんが、疑わしい活動が認識された場合にはフォレンジックレビューを行う十分な理由を提供します。

NetScalerの認証とアクセスログ、アウトバウンド接続、最近作成または変更されたファイル、構成変更、および持続性の兆候をレビューしてください。妥協を否定できない場合、組織はアプライアンスからアクセス可能な管理者の資格情報および他の秘密情報をローテーションし、疑わしい活動について接続されたインフラストラクチャを調査するべきです。

さらに、SOC PrimeのAIネイティブ検出インテリジェンスプラットフォームを活用することで、セキュリティチームは新たな悪用動作への可視性を強化し、追加の技術情報が利用可能になる際に迅速に検出ロジックに適応することができます。

免責事項： すべてのCVEに対して検出コンテンツが利用可能であるわけではありません。現在のカバレッジについてはSOC Primeプラットフォームを確認してください。関連する検出がまだ利用可能でない場合、検出スタックが継続的に更新されるため、後で再度確認してください。