情報取得日: 2026/10/04・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-88779 |
|---|---|
| 製品 | Citrix (Cloud Software Group) / NetScaler ADC / NetScaler Gateway 14.1-73.41 より前・13.1-64.28 より前・14.1-73.41 FIPS より前・13.1-37.282 FIPS/NDcPP より前（SAML SP または SAML IdP 構成時） |
| CVSS | 8.7（High） CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N |
| 種別 (CWE) | CWE-119（バッファ境界外のメモリ操作） |
| 登録／公開日 | 2026/10/04 |
| KEV 期限 | 2026/10/07 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。クラウドサービスについては該当する BOD 26-04 のガイダンスに従い、緩和策が無い場合は当該製品の使用を停止すること。各資産のインターネット露出を評価し、BOD 26-04 のパッチ適用ガイドラインを順守する責任は利用者側にある。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-88779 |
Citrix 速報 CTX697174（2026年10月3日公開）で修正された、NetScaler ADC / NetScaler Gateway のメモリオーバーフロー。速報は影響を「サービス拒否（DoS）」としている。前提条件は **装置が SAML SP（サービスプロバイダ）または SAML IdP（ID プロバイダ）として構成されている**こと。 **すでに悪用されている。** CISA は NVD 公開と同じ 2026年10月4日に KEV へ収載し、**是正期限を 2026年10月7日**（収載から3日）とした。KEV 上のランサムウェア利用は Unknown（不明）。Citrix の速報自体には悪用についての記述は無い。 CVSS 4.0 は Citrix の評価で 8.7 High（CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N。可用性のみ High）。NVD の vulnStatus は Received（2026-10-04 時点）で、NVD 独自の CVSS 3.1 スコアはまだ付いていない。CWE は CWE-119。 **9月27日の速報 CTX697096（CVE-2026-88771〜88778）の修正版では直っていない。** あちらの固定版は 14.1-73.37 / 13.1-64.23 だったが、本件の固定版は 14.1-73.41 / 13.1-64.28 で、前回の更新を終えた装置も再度の更新が要る。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
AWS 上で自社運用している NetScaler VPX を固定版（14.1-73.41 以降 / 13.1-64.28 以降）へ更新する。CTX697096 対応で 14.1-73.37 / 13.1-64.23 に上げた装置も再更新する。
AWS 側の修正ではなくアプライアンス（VPX）の更新が対処。CISA KEV 収載済み（是正期限 2026-10-07）。HA 構成は両系を更新する。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
GCP 上で自社運用している NetScaler VPX を固定版（14.1-73.41 以降 / 13.1-64.28 以降）へ更新する。
GCP 側にパッチは無い。VPX の更新が必要。SAML SP/IdP 構成の装置が対象。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure 上で自社運用している NetScaler VPX を固定版（14.1-73.41 以降 / 13.1-64.28 以降）へ更新する。
Azure 側にパッチは無い。Citrix が管理するクラウドサービスと Citrix 管理の Adaptive Authentication は Cloud Software Group 側で更新される（速報 CTX697174）。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
物理/仮想アプライアンス（MPX/SDX/VPX）を 14.1 系は 14.1-73.41 以降、13.1 系は 13.1-64.28 以降、14.1 FIPS は 14.1-73.41 FIPS 以降、13.1 FIPS/NDcPP は 13.1-37.282 以降へ更新する。
汎用 Linux ではなくアプライアンス。ベンダー提供のファームウェア更新が対処。
参照リンク
|
**固定版へ更新する。** 14.1 系は 14.1-73.41 以降、13.1 系は 13.1-64.28 以降、14.1 FIPS は 14.1-73.41 FIPS 以降、13.1 FIPS/NDcPP は 13.1-37.282 以降へ上げる。版数は `show ns version` で確認する。速報に更新以外の回避策は載っていない。KEV の是正期限は **2026年10月7日** と短い。 **対象かどうかは SAML 構成の有無で決まる。** 速報は、設定に `add authentication samlAction`（SAML SP）または `add authentication samlIdPProfile`（SAML IdP）があれば対象としている。`show authentication samlAction` / `show authentication samlIdPProfile` で確認できる。SAML を使っていない装置は本件の前提を満たさないが、同じ版に含まれる CTX697096 の8件（うち CVE-2026-88771 / 88772 は KEV 収載済み）の対象ではあるので、結局は固定版へ上げるのが近道になる。 **9月末に 14.1-73.37 / 13.1-64.23 へ上げた装置も対象。** CTX697096 の対応で止まっていると本件は未修正のままなので、HA 構成は両系とも 14.1-73.41 / 13.1-64.28 へ再更新する。Citrix が管理するクラウドサービスと Citrix 管理の Adaptive Authentication は Cloud Software Group 側で更新される。 **完了条件**は、（1）SAML SP/IdP を構成している全装置が 14.1-73.41 / 13.1-64.28（FIPS/NDcPP は対応版）以上であること、（2）HA の両系で版が揃っていること、の2点である。影響が DoS のため侵害痕跡の点検項目は速報に無いが、CISA は BOD 26-04 のフォレンジック・トリアージを求めているので、不審なクラッシュや再起動のログは更新前に退避しておく。
High（CVSS 8.7）に分類されるCitrix (Cloud Software Group) NetScaler ADC / NetScaler Gateway 14.1-73.41 より前・13.1-64.28 より前・14.1-73.41 FIPS より前・13.1-37.282 FIPS/NDcPP より前（SAML SP または SAML IdP 構成時）の脆弱性です。Citrix 速報 CTX697174（2026年10月3日公開）で修正された、NetScaler ADC / NetScaler Gateway のメモリオーバーフロー。速報は影響を「サービス拒否（DoS）」としている。前提条件は **装置が SAML SP（サービスプロバイダ）または SAML IdP（ID プロバイダ）として構成されている**こと。 **すでに悪用されている。** CISA は NVD 公開と同じ 2026年10月4日に KEV へ収載し、**是正期限を 2026年10月7日**（収載から3日）とした。KEV 上のランサムウェア利用は Unknown（不明）。Citrix の速報自体には悪用についての記述は無い。 CVSS 4.0 は Citrix の評価で 8.7 High（CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N。可用性のみ High）。NVD の vulnStatus は Received（2026-10-04 時点）で、NVD 独自の CVSS 3.1 スコアはまだ付いていない。CWE は CWE-119。 **9月27日の速報 CTX697096（CVE-2026-88771〜88778）の修正版では直っていない。** あちらの固定版は 14.1-73.37 / 13.1-64.23 だったが、本件の固定版は 14.1-73.41 / 13.1-64.28 で、前回の更新を終えた装置も再度の更新が要る。
**固定版へ更新する。** 14.1 系は 14.1-73.41 以降、13.1 系は 13.1-64.28 以降、14.1 FIPS は 14.1-73.41 FIPS 以降、13.1 FIPS/NDcPP は 13.1-37.282 以降へ上げる。版数は `show ns version` で確認する。速報に更新以外の回避策は載っていない。KEV の是正期限は **2026年10月7日** と短い。 **対象かどうかは SAML 構成の有無で決まる。** 速報は、設定に `add authentication samlAction`（SAML SP）または `add authentication samlIdPProfile`（SAML IdP）があれば対象としている。`show authentication samlAction` / `show authentication samlIdPProfile` で確認できる。SAML を使っていない装置は本件の前提を満たさないが、同じ版に含まれる CTX697096 の8件（うち CVE-2026-88771 / 88772 は KEV 収載済み）の対象ではあるので、結局は固定版へ上げるのが近道になる。 **9月末に 14.1-73.37 / 13.1-64.23 へ上げた装置も対象。** CTX697096 の対応で止まっていると本件は未修正のままなので、HA 構成は両系とも 14.1-73.41 / 13.1-64.28 へ再更新する。Citrix が管理するクラウドサービスと Citrix 管理の Adaptive Authentication は Cloud Software Group 側で更新される。 **完了条件**は、（1）SAML SP/IdP を構成している全装置が 14.1-73.41 / 13.1-64.28（FIPS/NDcPP は対応版）以上であること、（2）HA の両系で版が揃っていること、の2点である。影響が DoS のため侵害痕跡の点検項目は速報に無いが、CISA は BOD 26-04 のフォレンジック・トリアージを求めているので、不審なクラッシュや再起動のログは更新前に退避しておく。
Citrix (Cloud Software Group) NetScaler ADC / NetScaler Gateway 14.1-73.41 より前・13.1-64.28 より前・14.1-73.41 FIPS より前・13.1-37.282 FIPS/NDcPP より前（SAML SP または SAML IdP 構成時） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-88779）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/10/07 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。クラウドサービスについては該当する BOD 26-04 のガイダンスに従い、緩和策が無い場合は当該製品の使用を停止すること。各資産のインターネット露出を評価し、BOD 26-04 のパッチ適用ガイドラインを順守する責任は利用者側にある。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください。