NetScaler ADC／NetScaler Gatewayに複数の脆弱性（CVE-2026-88771～CVE-2026-88778）：悪用確認を受けIPAが緊急対応を要請

IPA（情報処理推進機構）は9月28日、Citrix NetScaler ADCおよびCitrix NetScaler Gatewayに複数の脆弱性が確認されたとして注意喚起した。対象にはCVE-2026-88771、CVE-2026-88772、CVE-2026-88773、CVE-2026-88774、CVE-2026-88775、CVE-2026-88776、CVE-2026-88777、CVE-2026-88778が含まれる。特にCVE-2026-88771およびCVE-2026-88772については、脆弱性を悪用した攻撃が確認されており、IPAは早急なアップデートを求めている。

脆弱性の詳細

Citrix NetScaler ADCおよびCitrix NetScaler Gatewayに、複数の脆弱性が確認されている。IPAによると、CVE-2026-88771およびCVE-2026-88772では、脆弱性を悪用した攻撃が確認されている。CVE-2026-88772は、DTLSの設定が有効な場合に影響を受けるもので、VPN仮想サーバーではDTLSが初期設定で有効になっている。

これらの脆弱性を悪用された場合、遠隔の第三者によって任意のコードを実行されたり、サービス運用妨害（DoS）の被害を受けたりする可能性がある。攻撃の具体的な成立条件や、その他のCVE番号に関する詳細は、現時点で公表情報を確認する必要がある。

重要: CVE-2026-88771およびCVE-2026-88772は、すでに悪用が確認されている。インターネットから到達可能なNetScaler ADCまたはNetScaler Gatewayを運用している場合、通常の計画更新ではなく、緊急対応として影響確認と修正済みバージョンへの更新を優先する必要がある。

影響を受ける製品・バージョン

• Citrix NetScaler ADCおよびCitrix NetScaler Gateway：14.1-73.37より前の14.1系バージョン
• Citrix NetScaler ADCおよびCitrix NetScaler Gateway：13.1-64.23より前の13.1系バージョン
• Citrix NetScaler ADC FIPS：14.1-73.37 FIPSより前のバージョン
• Citrix NetScaler ADC FIPS and NDcPP：13.1-37.279より前のバージョン

推奨される対策

• 修正済みバージョンへの更新: Citrixが提供する修正済みバージョンへ、できるだけ早急に更新する。通常版では、14.1系は14.1-73.37以降、13.1系は13.1-64.23以降が修正済みバージョンに該当する。
• FIPS製品の更新: Citrix NetScaler ADC FIPSは14.1-73.37 FIPS以降、Citrix NetScaler ADC FIPS and NDcPPは13.1-37.279以降への更新を確認する。
• ベンダの回避策・緩和策の適用: 更新が直ちに難しい場合は、Citrixが提示する回避策や緩和策の有無を確認し、適用可能な対策を実施する。ただし、攻撃が確認されているため、回避策だけで長期間運用しない。
• 公開範囲の見直し: 更新までの間、管理インターフェースや認証ポータルへのアクセス元を許可IPに限定し、不要な外部公開を停止する。
• 監視・ログ確認: NetScalerのアクセスログ、認証ログ、管理操作ログを確認し、不審なアクセス、異常な認証試行、設定変更、未知のプロセスや通信の痕跡がないか点検する。侵害が疑われる場合は、機器をネットワークから隔離し、保守ベンダや専門機関へ相談する。

日本の中小企業が今すぐ取るべき行動

• 優先度1: NetScaler ADC／NetScaler Gatewayの導入有無、稼働バージョン、FIPS製品への該当、インターネット公開状況を直ちに確認する。
• 優先度2: 14.1系は14.1-73.37以降、13.1系は13.1-64.23以降など、製品区分に応じた修正済みバージョンへ緊急更新する。
• 優先度3: 更新まで時間がかかる場合は、管理画面や認証ポータルへのアクセス制限、不要機能の停止など、外部からの到達面を最小化する。
• 優先度4: CVE-2026-88771およびCVE-2026-88772の悪用が確認されていることを踏まえ、直近のアクセスログ、認証ログ、管理操作ログを確認する。疑わしい痕跡がある場合は、機器の隔離と専門家への相談を優先する。
• 優先度5: 更新後も、関連する認証情報や管理者アカウントの不正利用がないか確認し、必要に応じて認証情報を変更する。侵害の有無を判断できない場合の詳細な調査方法は、現時点で不明であるため、保守ベンダやセキュリティ事業者に確認する。

CSRIからの現場アドバイス

実際のペネトレーションテストでは、VPNや認証ゲートウェイのように外部公開が前提となる機器で、更新が止まったまま運用されているケースが目立つ。今回のように悪用が確認された脆弱性では、ベンダの注意喚起を把握するだけでなく、対象機器の棚卸し、公開状況の確認、修正適用、ログ調査までを一連の緊急対応として進める必要がある。

例えるなら、会社の正面玄関の鍵に欠陥が見つかり、外部から実際に侵入を試みられている状態に近い。NetScalerが社内ネットワークへの入口として利用されている場合、任意コード実行やDoSによって、情報漏えいや業務停止につながるおそれがある。

まずNetScaler ADC／Gatewayが社内にあるか、製品区分とバージョンが影響範囲に該当するかを確認する。次に、14.1-73.37以降、13.1-64.23以降など、該当製品に対応する修正済みバージョンへの更新可否と停止影響を保守ベンダへ確認する。最後に、更新までの間は公開範囲を絞り、CVE-2026-88771およびCVE-2026-88772の悪用を想定したログ点検を直ちに実施する。

参照: NetScaler ADCおよびNetScaler Gatewayの脆弱性について(CVE-2026-88771、CVE-2026-88772等)