何が起きたか
2026年9月27日、Citrixは NetScaler ADC と NetScaler Gateway の脆弱性8件(CVE-2026-88771〜CVE-2026-88778)を扱う公告 CTX697096 を公開しました。そのうち CVE-2026-88771 と CVE-2026-88772 はすでに ゼロデイ として悪用されており、CISAは同日 KEV カタログに追加しました。CISAによると、どちらも重大で 単独でリモートコード実行が可能、悪用は「世界的に」確認されています。
報告されている技術的詳細
Google Threat Intelligence GroupとMandiantを引用したThreadlinqsの分析によると:
- CVE-2026-88772: NSPPEの DTLS 処理(UDP/443)における認証前のヒープオーバーフローで、root権限でのコード実行につながる。
- CVE-2026-88771: ログ処理スクリプトの入力検証不備(CWE-20)。ログ由来の名前をシェルコマンドに連結してしまう。
- 侵入後、Apache設定による永続化、Webシェル WHIPSHOT、トンネルツール SLAPSHOT が確認された。
- 悪用は少なくとも9月初めから(GovInfoSecurityは8月からと報道)。
いずれも CVSS 4.0で9.5 です。
修正版
14.1-73.37 以降、または 13.1-64.23 以降に更新してください。注意: 10月に新たな脆弱性(CVE-2026-88779、CVE-2026-107406)が見つかり、さらに新しいビルドが必要です。別記事で扱います。
今すべきこと
- インターネットに公開されたNetScalerをすべて洗い出し、ビルドを確認する。
- 悪用はパッチ前から始まっているため、更新後も 侵害の痕跡(Webシェル、新規アカウント、Apacheの変更)を調べる。
- 疑わしい場合はCitrixのガイダンスに従い、痕跡があればインシデントとして対応する。