概要
Citrixは9月27日、NetScaler ADCおよびNetScaler Gatewayに存在する2件のゼロデイ脆弱性、CVE-2026-88771とCVE-2026-88772(いずれもCVSS 9.5)について、パッチ未適用環境で実際に悪用が確認されたとするセキュリティブレティンを公開した。CISAはただちに両脆弱性を既知の悪用済み脆弱性(KEV)カタログへ追加し、連邦機関を含む組織に対して緊急対応を指示。オランダの国家サイバーセキュリティセンター(NCSC-NL)なども事前通知を行うなど、IT事業者やセキュリティチームからNetScalerの即時シャットダウンを勧める声が上がるなど、業界全体で異例の警戒レベルとなっている。
脆弱性の技術的詳細
CVE-2026-88771は入力値検証の不備に起因するリモートコード実行(RCE)脆弱性で、認証を経ずに任意のコマンドを実行できる可能性があり、デフォルト設定でも影響を受ける。CVE-2026-88772はメモリオーバーフローに起因する脆弱性で、DTLSが有効な場合に悪用可能となる。VPN仮想サーバーではDTLSがデフォルトで有効になっているため、影響範囲は広い。Citrixは両脆弱性について「未対応のNetScalerデプロイメント上での悪用を確認した」としており、複数の顧客環境で実際の攻撃が発生していることを明らかにしている。
このほかCitrixのセキュリティブレティン(CTX697096)では、HTTPリクエストスマグリング(CVE-2026-88773、CVSS 9.3)やHTTP URL式使用時のポリシーバイパス(CVE-2026-88774)、複数のメモリオーバーフローによるDoS脆弱性(CVE-2026-88775〜88777)、TCP初期シーケンス番号予測(CVE-2026-88778)など、合計8件の脆弱性が同時に修正されている。影響を受けるバージョンはNetScaler ADC/Gateway 14.1(14.1-73.37未満)および13.1(13.1-64.23未満)で、FIPS対応版も対象となる。
推奨される対応
Citrixは修正済みビルドである14.1-73.37以降または13.1-64.23以降への至急のアップグレードを呼びかけている。CVE-2026-88778への対応には、アップグレードに加えてTCP関連設定の変更も必要となる。即座にパッチを適用できない場合は、インターネットへの露出を可能な限り低減することが推奨されている。
CISAは、組織に対して自組織の露出状況を評価しリスク管理活動に組み入れること、パッチ適用前にNetScaler Consoleや公開ガイダンスを参照して侵害の兆候がないか確認すること、そして修正パッチの適用によって失われる可能性のあるフォレンジック証拠を事前に保全することを求めている。パッチ公開後は脆弱性の詳細情報を手がかりにした悪用試行がさらに増加することが予想されており、管理者には迅速かつ計画的な対応が求められる。