NetScalerの脆弱性CVE-2026-88771ほか｜ADC・Gatewayで悪用確認、修正版と侵害の確認方法

開発元のCloud Software Groupは、2026年9月28日（日本時間）にNetScaler ADCとNetScaler Gatewayの8件の脆弱性（CVE-2026-88771〜CVE-2026-88778）を公表しました。CVE-2026-88771は入力の検証の不備で、認証されていない攻撃者に任意のコマンドを実行されるおそれがあります。CVE-2026-88772はメモリの範囲外の操作で、遠隔からのコード実行かサービス停止につながります。深刻度は開発元の評価で、2件ともCVSS v4.0の9.5です。[2]

MandiantとGoogle Threat Intelligence Group（GTIG）は、CVE-2026-88772の悪用では、認証の前のDTLSのやり取りの段階でパケットを処理するエンジン（NSPPE）を異常終了させ、root権限で機器に入っていたと報告しています。[4]

残りの6件は、HTTPリクエストスマグリング（88773、9.3）、ポリシーの回避（88774、7.0）、メモリの範囲外の操作による誤動作やサービス停止（88775〜88777、8.8）、TCPの初期シーケンス番号の推測（88778、8.8）です。どれも当てはまる設定が違います。[2]

その後、同じ製品で2件が続けて公表されました。CVE-2026-88779（10月4日公表）はメモリの範囲外の操作によるサービス停止で、CVSS v4.0の8.7（開発元の評価）です。CVE-2026-107406（10月9日公表）はメモリの範囲外の操作で、遠隔からのコード実行かサービス停止につながり、CVSS v4.0の9.5（開発元の評価）です。どちらも、NetScalerをSAMLのSP（サービスプロバイダー）かIdP（認証の提供元）として設定している場合だけが対象です。[7][8]

CVE-2026-88771は、対象の版であれば初期設定を含むすべての構成が当てはまり、追加の機能を有効にしていなくても対象です。CVE-2026-88772は、DTLSが有効な構成が対象です。NetScaler GatewayのVPN仮想サーバーでは、DTLSが初期設定で有効です。[2]

DTLSが有効かは、設定（/nsconfig/ns.confなど）の行で確かめます。Citrixは次の例を挙げています。[2]

DTLSを無効にしていても、CVE-2026-88771の対象からは外れません。[2]

対象は、利用者が自分で管理しているNetScaler ADC・NetScaler Gatewayです。Citrixが管理するクラウドサービス（Gateway Serviceなど）とAdaptive Authenticationは、開発元が更新を済ませています。NetScalerを使うSecure Private Accessのハイブリッド構成は対象で、そのNetScalerを修正版に上げる必要があります。[2][3]

評価・試験用で本番には使えない15.1 Technology PreviewのVPX用ファームウェアも影響を受け、修正は追って出すとしています。[3]

続報の2件は、SAMLの設定がある機器だけが対象です。設定にadd authentication samlActionがあればSAMLのSP、add authentication samlIdPProfileがあればSAMLのIdPとして設定されています。CVE-2026-107406は、14.1-73.37〜14.1-73.41、13.1-64.23〜13.1-64.28（FIPS版も同じ範囲）ではIdPの設定がある場合だけ、それより前の版ではSPかIdPの設定がある場合が対象です。[7][8]

Cloud Software Groupは、修正していないNetScalerでCVE-2026-88771とCVE-2026-88772を悪用する攻撃を確認しています。[2]米CISAは2026年9月27日（米国の日付）に、2件を悪用が確認された脆弱性の一覧（KEV）に追加しました。[5]

MandiantとGTIGは、CVE-2026-88772がゼロデイとして悪用され、遅くとも9月上旬から続く攻撃で、北米と欧州の政府・金融・技術・教育・法律などの組織が影響を受けた可能性が高いと報告しています。攻撃者はPHPのWebシェル（WHIPSHOT）と、社内のネットワークへ通信を中継するPythonの道具（SLAPSHOT）を置き、社内の偵察と認証情報の窃取をしていました。[4]

JPCERT/CCは、この製品が国内で広く使われていることを確認しています。海外のセキュリティ組織の観測では、2026年9月24日以降、国内のNetScalerを対象にした攻撃の試みが見つかっています。この試みが今回の脆弱性を狙ったものかは分かっていません。[1]

続報のCVE-2026-88779は、米CISAが2026年10月4日にKEVへ追加しました。開発元の告知（CTX697174）は、悪用の有無に触れていません。CVE-2026-107406は、11月2日の時点でKEVに載っていません。[5][7][8]

攻撃コード（PoC）の公開について、一次情報に記載はありません。GTIGは、攻撃コードを持っていないとしています。[4]

NetScaler GatewayをVPNの入口として使う場合、社外からの接続を受けるため、インターネットから届く場所に置かれます。CVE-2026-88772の攻撃は、UDPの443番（DTLS）で届きます。[4]

自社のどこにNetScalerがあるか（本社・拠点・クラウド上の仮想アプライアンスVPX）、どの名前とIPアドレスで外から見えているか、外からUDPの443番を受けているかを一覧にします。保守を委託している機器も含めます。Mandiantは、管理用の接続口（NSIP）をインターネットに出さないよう勧めています。[4]

修正版に上げても、それまでに置かれた痕跡は消えず、攻撃を受けなかった証明にもなりません。Citrixは、侵害が疑われるか確認できたときは、更新で片付けるのではなく、修正済みの新しいNetScalerを立て直すよう勧めています。[3]

MandiantとGTIGは、確認した侵害で、攻撃者がWebサーバーの設定の変更、Webシェルの設置、/bin/shへのSUID権限の設定などで、アクセスを保とうとしていたと報告しています。調べる所は次の7つです。[1][4]

1. Webサーバーの設定ファイル/etc/httpd.confに、.deb・.sigなどをPHPとして動かす設定（AddHandler・AddType）や、/vpn/media/などを別の場所へ向けるAliasMatchが足されていないか。grep -En -i "application/x-httpd-php|php_flag|AliasMatch" /etc/httpd.conf
2. VPN関連のディレクトリ（/var/netscaler/gui/vpn/scripts/linux/など）に、PHPのコードを含む文字のファイルが作られていないか。本来は実行形式やアーカイブだけが置かれる場所です。
3. Webサーバーのログ（/var/log/httperror*・/var/log/httpaccess.log）に、.sigなど普段と違う拡張子のエラーや、/vpn/media/・/vpn/scripts/への要求で404なのに応答が数KBあるもの、記録の欠けが無いか。
4. DTLSのハンドシェイクの失敗（ClientVersion DTLSv1.0、Reason "Handshake failure-Internal Error"）と、その数分後のNSPPEの異常終了（/var/log/messagesのNOT restarting NSPPE）。
5. /tmp/.uxdport・/tmp/.uxdlockなどの不審なファイル。ls -la /tmp/.uxdport* /tmp/.uxdlock
6. /bin/shに設定された不審なSUID権限（-rwsr-xr-xでrootの所有）。ls -l /bin/sh
7. nohupで動く、/tmp/.uxdportなどを含む不審なPythonのプロセス。ps aux | grep -E "python.*(\.uxd|uxdport|uxdlock|base64)"

Citrixは、NetScaler Consoleのセキュリティアドバイザリの画面で、一般的な侵害の痕跡（IoC）を調べる機能を出しています（NetScaler Console 14.1-73.36以降、テレメトリの通信が有効なこと）。Consoleを使っていない場合は、Citrixのサポートに頼めます。Citrixは、この検査ですべての侵害が見つかるわけではないとし、経験のある調査の専門家に頼むよう勧めています。[3]

痕跡が見つかったとき、Mandiantは、機器をネットワークから外す、HAのペアは両方を別々に調べて設定の同期を止める、機器から外への通信を絞る、を挙げています。[4]

Citrixの手順（CTX694799「Steps to Take if NetScaler ADC is Suspected to be Compromised」）は、次の順です。[9]

1. 証拠を残す：VPXは調査用のスナップショットを取る。システムの時刻・時間帯・NTPの設定を記録し、外部のsyslogとNetScaler Consoleの記録も残す。サポート用の情報（Technical Support Bundle）と、パケットを処理するエンジンのコアダンプを取る（取得中に再起動する）。
2. 機器をネットワークから外す。
3. 機器に保存した認証情報（LDAPの接続用アカウント、RADIUSの共有鍵、OAuthのトークン、APIの鍵、SNMPのコミュニティ名）を、それぞれの接続先で替える。Gateway・AAAで認証した利用者のパスワードを替え、証明書と秘密鍵を失効させる。
4. NetScalerがつないでいたサーバー（認証サーバー、重要なシステム、管理用の踏み台など）を調べる。
5. MPXは消去して入れ直し、VPXは作り直す。最新のファームウェアに上げてから、侵害より前のバックアップの設定を戻す。
6. 戻した後に、ローカルのアカウントのパスワード、鍵を暗号化する鍵（KEK）、証明書を替え、少なくとも90日は不審な動きを見張る。

管理用のサービスは、インターネットに出さないようCitrixは求めています。[9]

CVE-2026-88771・88772は、14.1系は14.1-73.37以上、13.1系は13.1-64.23以上で直ります。続報のCVE-2026-88779は14.1-73.41・13.1-64.28以上、CVE-2026-107406は14.1-73.46・13.1-64.29以上で直るため、今から上げるなら14.1-73.46・13.1-64.29以上にします。[2][7][8]

Citrixのダウンロードの一覧では、2026年11月2日の時点で、14.1が14.1-73.49、13.1が13.1-64.32、FIPS版が14.1-73.49と13.1-37.286（いずれも10月27日公開）が最新です。[11]

同時に公表されたCVE-2026-88778（TCPの初期シーケンス番号の推測）は、更新に加えてTCPの設定の変更が必要です。show ns tcpparam | grep "Enhanced ISN Generation"がDISABLEDを返し、HTTP・SSL・TCPなどの仮想サーバーがある機器が当てはまります。[2]

Citrixは、NetScaler Consoleのセキュリティアドバイザリ（CVEの検査）で、管理しているNetScalerが対象か確かめられるとしています。[3]機器ごとの版を表示する手順は、Citrixの手引き（docs.netscaler.com の NetScaler ADC の文書）で確かめます。更新の手順は、手引きの「Upgrade a NetScaler standalone appliance」と「Upgrade a high availability pair」にあります。[10]

1. 機器ごとに、今の版（14.1-○○.○○の形）と、FIPS・NDcPP版かどうかを確かめ、06の表の上げる先と比べます。
2. 設定でDTLSとSAMLの有無を確かめます（02）。
3. 修正版をCitrixのダウンロードから入手します。目的の版が見つからない場合、MandiantはCitrixにSeverity 1のサポートの問い合わせを開くよう勧めています。[4]
4. 管理画面で上げる場合は、「System」の「System Upgrade」で、ディスクの空き（/varに7GB、/flashに200MB）を確かめ、ファームウェアを読み込み、更新前の検査（Pre-upgrade Validation）で失敗が無いことを確かめてから「Upgrade」を押します。更新が終わると再起動します。[10]
5. CLIで上げる場合は、save configで設定を保存し、shellで/nsconfig/ns.confの写しを取って機器の外にも保存します。/var/nsinstall/<版>/build_<ビルド>にファームウェアを置いて展開し、./installns --pre_checkで事前の検査をしてから./installnsで入れ、再起動します。[10]
6. HAのペアは、副（secondary）を先に上げ、show ha nodeで状態を確かめてforce failoverで切り替えた後、もう一方を上げます。[10]
7. 上げた後に版が上げる先になったかを確かめ、05の侵害の確認をします。

保守の会社に頼むときは、機器の名前と版、FIPS版か、DTLSとSAMLの設定、外から見えているか、上げる先の版（14.1-73.46以上など）を伝え、上げた後の侵害の確認（05の7点とNetScaler ConsoleのIoCの検査）までを頼みます。

Cloud Software Groupは、CVE-2026-88771とCVE-2026-88772の回避策を出していません。続報の2件の告知にも、回避策の記載はありません。[7][8]JPCERT/CCは、十分に試したうえでの速やかな修正版の適用と、侵害の有無の調査を求めています。[1]

Mandiantは、上げるまでの間の一時的な策として、必要のないDTLSを無効にする、機器より手前のファイアウォールやルーターで外からのUDPの443番を止める、接続元が決まっている場合は手前でIPアドレスを絞る、を挙げています。この策はCVE-2026-88772だけに効き、CVE-2026-88771は防げないため、修正版への更新は欠かせません。NetScaler自身のACLだけで止めると、通信が脆弱な処理に届いてから捨てられます。[4]

Citrixの製品の保守期間の表では、ファームウェアの13.1はメンテナンスの終了（EOM）が2026年9月15日、サポートの終了（EOL）が2027年9月15日です。14.1はEOMが2029年8月8日、EOLが2030年8月8日です。13.1のEOLの印は、SDX 14K FIPSの機種では13.1のSVMへのセキュリティ修正を機種のEOL（2028年3月1日）まで続ける、という注記です。[6]

今回と続報の修正は13.1系にも出ています（13.1-64.23、13.1-64.29など）。[2][8]13.1を使っている場合は、EOLまでに14.1へ移る時期を保守の会社と決めておきます。

Citrixの告知が対象に挙げているのは保守中の系列で、それより古い系列についての記載はありません。古い系列は対象外と読み替えず、保守の会社と扱いを確かめます。[2]