CitrixのNetScalerに新たな未修正RCE、なぜ「初期設定のまま」でも突破されたのか。CVE-2026-88771の仕組みと対応を確認する

まず初めに

またNetScalerか、と思った読者もいるだろう。「社内ネットワークの門番」のはずの機器が、今度もまた鍵をかけ忘れたまま公開されていた玄関だったわけだ。しかも今回は輪をかけて意地が悪い。パッチが配られるより前から、すでに何者かが合鍵を作って出入りしていた形跡がある。企業のシステム担当者にとっては、朝のコーヒーより先にバージョン確認をする一日になりそうだ。※個人の感想です

何が起きているのか

Citrixは2026年9月27日付のセキュリティ情報(CTX697096)で、NetScaler ADCとNetScaler Gatewayを対象に、CVE-2026-88771からCVE-2026-88778までの計8件の脆弱性を修正したと公表しました。このうち特に深刻とされているのが、CVE-2026-88771とCVE-2026-88772の2件です。

CVE-2026-88771は、入力値の検証が不十分なことに起因する脆弱性で、認証にんしょうを一切必要とせずに、攻撃者が機器上で任意のコマンドを実行できてしまいます。機器をどのような設定で使っていても(初期設定のままでも)影響を受け、Citrix自身も攻撃の難易度は低いと説明しています。つまり、対象バージョンのNetScalerを使っているだけで、追加の条件なしに狙われうるということです。

CVE-2026-88772は、メモリ破損に起因する脆弱性で、機器でDTLSでぃーてぃーえるえす(通信を暗号化する仕組みの一種)機能を有効にしている場合に影響を受けます。Citrixはこちらについて攻撃の難易度は高いとしており、CVE-2026-88771に比べると悪用のハードルはやや高いとされています。

Citrixの親会社であるCloud Software Groupは、両脆弱性がパッチ未適用の環境において、修正版が公開される前からゼロデイ脆弱性ぜろでいぜいじゃくせい(修正プログラムが存在しない段階で悪用される脆弱性)として実際に悪用されていたことを確認したと説明しています。これを受けて米CISAは9月27日、両脆弱性を実際の悪用が確認された脆弱性の一覧である「KEV(Known Exploited Vulnerabilities)カタログ」に追加しました。

JPCERT/CCは2026年9月28日、注意喚起(識別番号AT260029)を公開し、海外のセキュリティ機関からの情報として、日本国内でも2026年9月24日ごろからNetScaler機器を狙ったとみられる攻撃の試みが確認されていると説明しています。IPAも同日付で同様の注意喚起を出しています。

なぜ重要なのか

NetScaler ADC・NetScaler Gatewayは、企業の社内ネットワークとインターネットの境界に置かれ、リモートアクセスや負荷分散を担う機器です。こうした境界の機器が乗っ取られると、攻撃者は社内ネットワークへの足がかりを得ることになり、被害が機器1台にとどまらず組織全体に広がるおそれがあります。

今回のCVE-2026-88771が特に深刻なのは、認証を必要とせず、初期設定のままでも影響を受け、攻撃の難易度も低いという3点がそろっている点です。さらに、パッチが提供される前からすでに悪用されていたゼロデイだったという事実は、企業側に「気づいてからパッチを当てる」だけの準備期間が無かったことを意味します。IT Postでは2026年8月にも、同じNetScaler ADC/Gatewayの脆弱性CVE-2026-8452について、当初はサービス運用妨害(DoS)程度とされていた分類が後に認証不要の遠隔コード実行(RCE)だったと判明した経緯を取り上げましたが、今回はその教訓を踏まえてもなお、同じ製品ラインから重大な脆弱性が続けて見つかった形です。

私たちへの影響

この脆弱性は、一般利用者が直接操作する製品ではなく、企業や組織が社内ネットワークの入り口として導入する機器を対象としています。個人利用者が自分のパソコンやスマートフォンで何か特別な対策を取る必要はありません。一方で、勤務先や利用しているサービスの提供元がNetScaler ADC・NetScaler Gatewayを導入している場合、そこが乗っ取られることで、間接的に個人情報の漏えいやサービス停止といった影響を受ける可能性があります。

企業のシステム管理者にとっては、影響は直接的です。修正済みバージョン(NetScaler ADC・NetScaler Gatewayともに14.1-73.37以降、13.1-64.23以降)が未適用の場合、早急な更新が必要です。あわせて、パッチ適用前にすでに侵入を受けていた可能性があるため、侵入の痕跡がないかログを確認することも推奨されます。

よくある質問

Q. 自分の会社が使っている機器が対象かどうか確認するには?

A. NetScaler ADCおよびNetScaler Gatewayの管理画面やバージョン表示で、現在のビルド番号を確認してください。14.1系ではビルド73.37より前、13.1系では64.23より前のバージョンが対象です。該当する場合は、Citrixが提供する修正版への更新が必要です。

初心者が知っておくべきこと

「リモートコード実行りもーとこーどじっこう(RCE)」とは、攻撃者がインターネットなど遠隔の場所から、対象の機器やサーバー上で任意のプログラムを実行できてしまう状態を指します。攻撃者に機器の管理者権限を事実上握られてしまうため、脆弱性の中でも特に深刻な種類とされています。

「ゼロデイ脆弱性」とは、修正プログラム(パッチ)がまだ存在しない段階で、その脆弱性が実際の攻撃に悪用されることを指す言葉です。今回のケースのように、ベンダーが脆弱性を公表し修正版を出す時点で、すでに悪用が始まっていたと判明するケースは珍しくありません。

「CVSS」とは、脆弱性の深刻度を0から10までの数値で表す共通の指標です。数値が高いほど深刻とされ、今回の2件はいずれも最高水準に近い9.5という評価を受けています。

IT Postの見方

IT Postでは、今回のケースが「境界に置かれる機器ほど、公表前からすでに狙われているリスクを前提に運用する必要がある」ことを改めて示した事例だと考えます。パッチが出てから対応を検討するのでは遅く、ゼロデイとして悪用されていた可能性がある以上、パッチ適用と同時に侵入の痕跡確認まで済ませて初めて「対応した」と言える状況です。同じ製品ラインから数か月おきに深刻な脆弱性が見つかっている点も踏まえると、NetScalerを導入している組織は、脆弱性情報が出るたびに機械的に確認する体制そのものを見直す時期に来ているというのがIT Postの見方です。

今後どうなりそうか

JPCERT/CCやCitrixからは、今後さらに詳しい被害状況や追加の対策情報が公表される可能性があります。すでに悪用が確認され、CISAのKEVカタログにも追加されていることから、パッチを未適用の組織を狙った攻撃は今後も続くとみられます。IT Postでは、被害の拡大や新たな注意喚起があり次第、あらためて取り上げます。