情報取得日: 2026/09/27・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-88771 |
|---|---|
| 製品 | Citrix (Cloud Software Group) / NetScaler ADC / NetScaler Gateway 14.1-73.37 より前・13.1-64.23 より前（FIPS/NDcPP 含む） |
| CVSS | 9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-20（不適切な入力検証） |
| 登録／公開日 | 2026/09/27 |
| KEV 期限 | 2026/09/30 まで（米国連邦機関向け目安） |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-88771 |
Citrix が 2026年9月27日に公表した NetScaler ADC / NetScaler Gateway のセキュリティ速報 CTX697096（CVE-2026-88771〜88778 の8件）のうち、もっとも条件の緩い欠陥。入力検証の不備により、**認証されていない攻撃者が装置上で任意のコマンドを実行できる**。速報の前提条件は「すべての NetScaler ADC / NetScaler Gateway（既定構成・追加機能不要）」で、Gateway や AAA などの特定の構成を必要としない。 Citrix は、対策していない NetScaler に対する CVE-2026-88771 と CVE-2026-88772 の悪用を確認したとしている。Rapid7 は両件がベンダーの公表前からゼロデイとして悪用されていたと報告している。CISA は公表と同日の 2026年9月27日に KEV へ収載し、**是正期限を 2026年9月30日**とした。ランサムウェアでの利用は KEV で「不明」。 CVSS は NVD の評価で 9.8（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、Citrix の CVSS 4.0 評価は 9.5。影響を受けるのは 14.1-73.37 より前、13.1-64.23 より前、14.1 FIPS の 14.1-73.37 より前、13.1 FIPS/NDcPP の 13.1-37.279 より前の各ビルド。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
AWS Marketplace 等で自社運用している NetScaler VPX を固定版（14.1-73.37 以降 / 13.1-64.23 以降）へ更新する。Gateway を公開している場合はセキュリティグループで到達元を絞る。
AWS 側の修正ではなくアプライアンス（VPX）の更新が対処。HA 構成は両系を更新する。 CISA KEV 収載済み（是正期限 2026-09-30）。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
GCP 上で自社運用している NetScaler VPX を固定版（14.1-73.37 以降 / 13.1-64.23 以降）へ更新する。ファイアウォールで Gateway の到達元を制限する。
GCP 側にパッチは無い。VPX の更新が必要。 CISA KEV 収載済み（是正期限 2026-09-30）。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure 上で自社運用している NetScaler VPX を固定版（14.1-73.37 以降 / 13.1-64.23 以降）へ更新する。NSG で公開範囲を絞る。
Azure 側にパッチは無い。Citrix が管理するクラウドサービスと Adaptive Authentication は Cloud Software Group 側で更新される（速報 CTX697096）。 CISA KEV 収載済み（是正期限 2026-09-30）。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
物理/仮想アプライアンス（MPX/SDX/VPX）を 14.1 系は 14.1-73.37 以降、13.1 系は 13.1-64.23 以降、14.1 FIPS は 14.1-73.37 FIPS 以降、13.1 FIPS/NDcPP は 13.1-37.279 以降 へ更新する。
汎用 Linux ではなくアプライアンス。ベンダー提供のファームウェア更新のみが対処で、速報に更新以外の回避策は載っていない。
参照リンク
|
**CISA KEV の是正期限は 2026年9月30日**で、収載から3日しかない。ゼロデイとして公表前から悪用されていたため、更新と侵害確認を並行して進める。 対処は固定版への更新に一本化する。14.1 系は 14.1-73.37 以降、13.1 系は 13.1-64.23 以降、14.1 FIPS は 14.1-73.37 FIPS 以降、13.1 FIPS/NDcPP は 13.1-37.279 以降へ上げる。Citrix の速報 CTX697096 には更新以外の回避策は載っていない。同じ速報で CVE-2026-88771〜88778 の8件がまとめて修正されているので、どれか1件のためではなく速報単位で更新する。 既定構成で成立するため、「Gateway を使っていないから対象外」という判断はできない。show ns version で版数を確認し、固定版より前であればすべての装置が対象になる。 **侵害の確認**: CISA は KEV の注記で、Citrix が提供する IoC を NetScaler のコンソールで実行して悪用の痕跡を確認すること、BOD 26-04 のフォレンジック・トリアージ要件に従うことを求めている。Citrix は侵害が疑われる場合の手順を CTX694799 にまとめている。更新すると痕跡の一部が失われうるので、ログとコアダンプは適用前に退避しておく。 Citrix が管理するクラウドサービスと Adaptive Authentication は Cloud Software Group 側で更新されるが、AWS/Azure/GCP で自社運用している VPX は利用者が更新する。Secure Private Access のハイブリッド構成も NetScaler 側の更新が要る。
Critical（CVSS 9.8）に分類されるCitrix (Cloud Software Group) NetScaler ADC / NetScaler Gateway 14.1-73.37 より前・13.1-64.23 より前（FIPS/NDcPP 含む）の脆弱性です。Citrix が 2026年9月27日に公表した NetScaler ADC / NetScaler Gateway のセキュリティ速報 CTX697096（CVE-2026-88771〜88778 の8件）のうち、もっとも条件の緩い欠陥。入力検証の不備により、**認証されていない攻撃者が装置上で任意のコマンドを実行できる**。速報の前提条件は「すべての NetScaler ADC / NetScaler Gateway（既定構成・追加機能不要）」で、Gateway や AAA などの特定の構成を必要としない。 Citrix は、対策していない NetScaler に対する CVE-2026-88771 と CVE-2026-88772 の悪用を確認したとしている。Rapid7 は両件がベンダーの公表前からゼロデイとして悪用されていたと報告している。CISA は公表と同日の 2026年9月27日に KEV へ収載し、**是正期限を 2026年9月30日**とした。ランサムウェアでの利用は KEV で「不明」。 CVSS は NVD の評価で 9.8（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、Citrix の CVSS 4.0 評価は 9.5。影響を受けるのは 14.1-73.37 より前、13.1-64.23 より前、14.1 FIPS の 14.1-73.37 より前、13.1 FIPS/NDcPP の 13.1-37.279 より前の各ビルド。
**CISA KEV の是正期限は 2026年9月30日**で、収載から3日しかない。ゼロデイとして公表前から悪用されていたため、更新と侵害確認を並行して進める。 対処は固定版への更新に一本化する。14.1 系は 14.1-73.37 以降、13.1 系は 13.1-64.23 以降、14.1 FIPS は 14.1-73.37 FIPS 以降、13.1 FIPS/NDcPP は 13.1-37.279 以降へ上げる。Citrix の速報 CTX697096 には更新以外の回避策は載っていない。同じ速報で CVE-2026-88771〜88778 の8件がまとめて修正されているので、どれか1件のためではなく速報単位で更新する。 既定構成で成立するため、「Gateway を使っていないから対象外」という判断はできない。show ns version で版数を確認し、固定版より前であればすべての装置が対象になる。 **侵害の確認**: CISA は KEV の注記で、Citrix が提供する IoC を NetScaler のコンソールで実行して悪用の痕跡を確認すること、BOD 26-04 のフォレンジック・トリアージ要件に従うことを求めている。Citrix は侵害が疑われる場合の手順を CTX694799 にまとめている。更新すると痕跡の一部が失われうるので、ログとコアダンプは適用前に退避しておく。 Citrix が管理するクラウドサービスと Adaptive Authentication は Cloud Software Group 側で更新されるが、AWS/Azure/GCP で自社運用している VPX は利用者が更新する。Secure Private Access のハイブリッド構成も NetScaler 側の更新が要る。
Citrix (Cloud Software Group) NetScaler ADC / NetScaler Gateway 14.1-73.37 より前・13.1-64.23 より前（FIPS/NDcPP 含む） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-88771）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/30 です。早急な対応が推奨されます。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください。