脆弱性対応ウォッチ重大・クリティカル脆弱性のクラウド別対応まとめ
最新更新履歴CriticalHigh回避策のみパッチありAWSGCPAzureLinux
Critical CVSS 10.0 NEW
CVE-2026-88773

Citrix NetScaler ADC/Gateway の HTTP リクエストスマグリング（CVSS 10.0）

情報取得日: 2026/09/27・本ページは公開情報の非公式まとめです

CVE IDCVE-2026-88773
製品Citrix (Cloud Software Group) / NetScaler ADC / NetScaler Gateway 14.1-73.37 より前・13.1-64.23 より前（FIPS/NDcPP 含む）
CVSS10.0（Critical）
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
種別 (CWE)CWE-444（HTTP リクエストの解釈の不一致）
登録／公開日2026/09/27
出典https://nvd.nist.gov/vuln/detail/CVE-2026-88773

概要

Citrix が 2026年9月27日に公表したセキュリティ速報 CTX697096（CVE-2026-88771〜88778 の8件）のうちの1件で、NetScaler ADC / NetScaler Gateway が HTTP リクエストを一貫しない形で解釈する **HTTP リクエストスマグリング**。前提条件は「NetScaler ADC または Gateway で HTTP の構成が有効」なこと（速報）。 CVSS は NVD の評価で 10.0（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N）と8件の中で最も高く、Citrix の CVSS 4.0 評価は 9.3。認証不要でネットワークから成立し、影響が装置の外（背後のサーバ）に及ぶ評価になっている。 同じ速報で修正された CVE-2026-88771 と CVE-2026-88772 は悪用が確認され CISA KEV に収載されているが、本件は 2026年9月29日時点で KEV に収載されておらず、悪用の報告も無い（Citrix 速報・watchTowr の整理）。

クラウド／OS 別の対応状況

各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。

AWS / GCP / Azure / Linux いずれも対応区分は同じです: パッチあり（アプリ更新） 下の表は環境ごとの補足です。
環境対応状況対応方法・備考
AWS (ECS/EC2) パッチあり（アプリ更新）
AWS 上で自社運用している NetScaler VPX を固定版（14.1-73.37 以降 / 13.1-64.23 以降）へ更新する。
AWS 側の修正ではなくアプライアンス（VPX）の更新が対処。HA 構成は両系を更新する。
参照リンク
GCP パッチあり（アプリ更新）
GCP 上で自社運用している NetScaler VPX を固定版（14.1-73.37 以降 / 13.1-64.23 以降）へ更新する。
GCP 側にパッチは無い。VPX の更新が必要。
参照リンク
Azure パッチあり（アプリ更新）
Azure 上で自社運用している NetScaler VPX を固定版（14.1-73.37 以降 / 13.1-64.23 以降）へ更新する。
Azure 側にパッチは無い。Citrix が管理するクラウドサービスは Cloud Software Group 側で更新される（速報 CTX697096）。
参照リンク
Linux パッチあり（アプリ更新）
物理/仮想アプライアンス（MPX/SDX/VPX）を 14.1 系は 14.1-73.37 以降、13.1 系は 13.1-64.23 以降、14.1 FIPS は 14.1-73.37 FIPS 以降、13.1 FIPS/NDcPP は 13.1-37.279 以降 へ更新する。
汎用 Linux ではなくアプライアンス。ベンダー提供のファームウェア更新が対処。
参照リンク

解決の方向性（パッチ／回避策／代替）

対処は固定版への更新。14.1 系は 14.1-73.37 以降、13.1 系は 13.1-64.23 以降、14.1 FIPS は 14.1-73.37 FIPS 以降、13.1 FIPS/NDcPP は 13.1-37.279 以降へ上げる。同じ速報 CTX697096 で CVE-2026-88771〜88778 の8件がまとめて修正されており、うち CVE-2026-88771 / 88772 は KEV 収載済み（是正期限 2026-09-30）なので、本件単独ではなく速報単位で更新する。版数は show ns version で確認する。 HTTP / SSL 型の仮想サーバ（負荷分散・コンテンツスイッチ・VPN・認証）を持つ装置が前提条件に当たるので、ADC として Web を公開している装置は優先して更新する。速報に更新以外の回避策は載っていない。

よくある質問（CVE-2026-88773）

CVE-2026-88773（NetScaler ADC / NetScaler Gateway 14.1-73.37 より前・13.1-64.23 より前）の影響は？

Critical（CVSS 10.0）に分類されるCitrix (Cloud Software Group) NetScaler ADC / NetScaler Gateway 14.1-73.37 より前・13.1-64.23 より前（FIPS/NDcPP 含む）の脆弱性です。Citrix が 2026年9月27日に公表したセキュリティ速報 CTX697096（CVE-2026-88771〜88778 の8件）のうちの1件で、NetScaler ADC / NetScaler Gateway が HTTP リクエストを一貫しない形で解釈する **HTTP リクエストスマグリング**。前提条件は「NetScaler ADC または Gateway で HTTP の構成が有効」なこと（速報）。 CVSS は NVD の評価で 10.0（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N）と8件の中で最も高く、Citrix の CVSS 4.0 評価は 9.3。認証不要でネットワークから成立し、影響が装置の外（背後のサーバ）に及ぶ評価になっている。 同じ速報で修正された CVE-2026-88771 と CVE-2026-88772 は悪用が確認され CISA KEV に収載されているが、本件は 2026年9月29日時点で KEV に収載されておらず、悪用の報告も無い（Citrix 速報・watchTowr の整理）。

CVE-2026-88773 の対応方法・回避策は？

対処は固定版への更新。14.1 系は 14.1-73.37 以降、13.1 系は 13.1-64.23 以降、14.1 FIPS は 14.1-73.37 FIPS 以降、13.1 FIPS/NDcPP は 13.1-37.279 以降へ上げる。同じ速報 CTX697096 で CVE-2026-88771〜88778 の8件がまとめて修正されており、うち CVE-2026-88771 / 88772 は KEV 収載済み（是正期限 2026-09-30）なので、本件単独ではなく速報単位で更新する。版数は show ns version で確認する。 HTTP / SSL 型の仮想サーバ（負荷分散・コンテンツスイッチ・VPN・認証）を持つ装置が前提条件に当たるので、ADC として Web を公開している装置は優先して更新する。速報に更新以外の回避策は載っていない。

自分の環境が CVE-2026-88773 の影響を受けるか確認するには？

Citrix (Cloud Software Group) NetScaler ADC / NetScaler Gateway 14.1-73.37 より前・13.1-64.23 より前（FIPS/NDcPP 含む） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-88773）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

参考情報（出典）

本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください。

ベンダー公式・PSIRT アドバイザリ
NVD（CVE 基本情報・CVSS スコアの出典）
免責: 本ページは CISA KEV・NVD・各ベンダー公式アドバイザリ等の公開情報をもとにした非公式まとめです。修正バージョンや対応可否は変更される場合があります。実際の対応は必ず 出典元および各ベンダー公式情報・自環境で確認してください。

« 一覧に戻る