Citrix NetScaler ADC/Gateway の DTLS メモリオーバーフローで RCE・DoS（KEV・是正期限 2026-09-30）

情報取得日: 2026/09/27・本ページは公開情報の非公式まとめです

CVE ID	CVE-2026-88772
製品	Citrix (Cloud Software Group) / NetScaler ADC / NetScaler Gateway 14.1-73.37 より前・13.1-64.23 より前（FIPS/NDcPP 含む）
CVSS	8.1（High） CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
種別 (CWE)	CWE-119（バッファ境界外のメモリ操作）
登録／公開日	2026/09/27
KEV 期限	2026/09/30 まで（米国連邦機関向け目安）
出典	https://nvd.nist.gov/vuln/detail/CVE-2026-88772

概要

Citrix の速報 CTX697096 で CVE-2026-88771 と同時に修正されたメモリオーバーフロー。**リモートコード実行またはサービス拒否（DoS）**につながる。前提条件は NetScaler ADC / Gateway で DTLS が有効になっていることで、速報は **VPN 仮想サーバでは DTLS が既定で有効**だと注記している。 Citrix は対策していない装置への悪用を確認しており、CISA は 2026年9月27日に KEV へ収載し、**是正期限を 2026年9月30日**とした。ランサムウェアでの利用は KEV で「不明」。 CVSS は NVD の評価で 8.1（CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H）で、攻撃の複雑さが「高」とされている。Citrix の CVSS 4.0 評価は 9.5。影響を受けるビルドと修正版は CVE-2026-88771 と同じ。

クラウド／OS 別の対応状況

各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。

AWS / GCP / Azure / Linux いずれも対応区分は同じです: パッチあり（アプリ更新）下の表は環境ごとの補足です。

環境	対応状況	対応方法・備考
AWS (ECS/EC2)	パッチあり（アプリ更新）	AWS Marketplace 等で自社運用している NetScaler VPX を固定版（14.1-73.37 以降 / 13.1-64.23 以降）へ更新する。Gateway を公開している場合はセキュリティグループで到達元を絞る。 AWS 側の修正ではなくアプライアンス（VPX）の更新が対処。HA 構成は両系を更新する。 CISA KEV 収載済み（是正期限 2026-09-30）。参照リンク
GCP	パッチあり（アプリ更新）	GCP 上で自社運用している NetScaler VPX を固定版（14.1-73.37 以降 / 13.1-64.23 以降）へ更新する。ファイアウォールで Gateway の到達元を制限する。 GCP 側にパッチは無い。VPX の更新が必要。 CISA KEV 収載済み（是正期限 2026-09-30）。参照リンク
Azure	パッチあり（アプリ更新）	Azure 上で自社運用している NetScaler VPX を固定版（14.1-73.37 以降 / 13.1-64.23 以降）へ更新する。NSG で公開範囲を絞る。 Azure 側にパッチは無い。Citrix が管理するクラウドサービスと Adaptive Authentication は Cloud Software Group 側で更新される（速報 CTX697096）。 CISA KEV 収載済み（是正期限 2026-09-30）。参照リンク
Linux	パッチあり（アプリ更新）	物理/仮想アプライアンス（MPX/SDX/VPX）を 14.1 系は 14.1-73.37 以降、13.1 系は 13.1-64.23 以降、14.1 FIPS は 14.1-73.37 FIPS 以降、13.1 FIPS/NDcPP は 13.1-37.279 以降へ更新する。汎用 Linux ではなくアプライアンス。ベンダー提供のファームウェア更新のみが対処で、速報に更新以外の回避策は載っていない。参照リンク

解決の方向性（パッチ／回避策／代替）

**CISA KEV の是正期限は 2026年9月30日**で、収載から3日しかない。ゼロデイとして公表前から悪用されていたため、更新と侵害確認を並行して進める。対処は固定版への更新に一本化する。14.1 系は 14.1-73.37 以降、13.1 系は 13.1-64.23 以降、14.1 FIPS は 14.1-73.37 FIPS 以降、13.1 FIPS/NDcPP は 13.1-37.279 以降へ上げる。Citrix の速報 CTX697096 には更新以外の回避策は載っていない。同じ速報で CVE-2026-88771〜88778 の8件がまとめて修正されているので、どれか1件のためではなく速報単位で更新する。 DTLS が前提条件なので、show vpn vserver で VPN 仮想サーバの有無と DTLS の設定を確認する。VPN 仮想サーバを持つ装置は既定で DTLS が有効なので優先して更新する。ただし同じ版には既定構成で成立する CVE-2026-88771 も残っているので、DTLS を無効にしても更新は省けない。 **侵害の確認**: CISA は KEV の注記で、Citrix が提供する IoC を NetScaler のコンソールで実行して悪用の痕跡を確認すること、BOD 26-04 のフォレンジック・トリアージ要件に従うことを求めている。Citrix は侵害が疑われる場合の手順を CTX694799 にまとめている。更新すると痕跡の一部が失われうるので、ログとコアダンプは適用前に退避しておく。 Citrix が管理するクラウドサービスと Adaptive Authentication は Cloud Software Group 側で更新されるが、AWS/Azure/GCP で自社運用している VPX は利用者が更新する。Secure Private Access のハイブリッド構成も NetScaler 側の更新が要る。

よくある質問（CVE-2026-88772）

CVE-2026-88772（NetScaler ADC / NetScaler Gateway 14.1-73.37 より前・13.1-64.23 より前）の影響は？

High（CVSS 8.1）に分類されるCitrix (Cloud Software Group) NetScaler ADC / NetScaler Gateway 14.1-73.37 より前・13.1-64.23 より前（FIPS/NDcPP 含む）の脆弱性です。Citrix の速報 CTX697096 で CVE-2026-88771 と同時に修正されたメモリオーバーフロー。**リモートコード実行またはサービス拒否（DoS）**につながる。前提条件は NetScaler ADC / Gateway で DTLS が有効になっていることで、速報は **VPN 仮想サーバでは DTLS が既定で有効**だと注記している。 Citrix は対策していない装置への悪用を確認しており、CISA は 2026年9月27日に KEV へ収載し、**是正期限を 2026年9月30日**とした。ランサムウェアでの利用は KEV で「不明」。 CVSS は NVD の評価で 8.1（CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H）で、攻撃の複雑さが「高」とされている。Citrix の CVSS 4.0 評価は 9.5。影響を受けるビルドと修正版は CVE-2026-88771 と同じ。

CVE-2026-88772 の対応方法・回避策は？

自分の環境が CVE-2026-88772 の影響を受けるか確認するには？

Citrix (Cloud Software Group) NetScaler ADC / NetScaler Gateway 14.1-73.37 より前・13.1-64.23 より前（FIPS/NDcPP 含む）を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-88772）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

CVE-2026-88772 は実際に悪用されている？

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/30 です。早急な対応が推奨されます。