Citrix NetScaler脆弱性CVE-2026-88779、悪用確認——対象版確認と更新を

CVE-2026-88779の概要：CISA KEV掲載が示す脅威の実在性

2026年10月4日、Citrix（NetScaler）はNetScaler ADCおよびNetScaler GatewayにCVSS 4.0スコア8.7（HIGH）の脆弱性CVE-2026-88779を公開した（CVE公式記録）。同日、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）はこの脆弱性を「既知の悪用された脆弱性カタログ（KEV）」に追加した。

KEVへの掲載は、理論上のリスク評価ではなく、実際の攻撃での悪用が観測・確認されたことの記録である。CISAが米連邦機関に示した対処期限は2026年10月7日である。この期限はBOD 26-04に基づく米連邦政府機関向けの法的義務であり、日本の民間企業に同義務は生じない。

FIRSTのEPSSスコアは2026年10月29日時点で約0.114（パーセンタイル約96）と記録されている。EPSSは統計的な悪用確率の推定であり、特定の環境での悪用を断定するものではないが、全CVEの上位約4%に位置する。EPSSはあくまで統計的な推定であり、実際に悪用されることを断定するものではない。

ほかにも実際に悪用が確認されている脆弱性は、Connect Secureの脆弱性で説明しています。

関連記事Fortinet複数製品の脆弱性CVE-2025-61624——悪用確認、版確認を

NetScaler 脆弱性 CVE-2026-88779 の影響バージョンと修正バージョン一覧

CVE-2026-88779の影響範囲は、CVE公式記録（採番元CNA：NetScaler）に基づいて以下のとおり確定している。自社環境の版番号と照合し、影響の有無を判断する。

製品	影響を受けるバージョン（未満）	修正バージョン（以降）
NetScaler ADC	14.1-73.41 未満	14.1-73.41 以降
NetScaler ADC	13.1-64.28 未満	13.1-64.28 以降
NetScaler ADC（FIPS）	14.1-73.41 未満	14.1-73.41 以降
NetScaler ADC	13.1-37.282 未満（13.1-FIPS・13.1-NDcPP）	13.1-37.282 以降（13.1-FIPS・13.1-NDcPP）
NetScaler Gateway	14.1-73.41 未満	14.1-73.41 以降
NetScaler Gateway	13.1-64.28 未満	13.1-64.28 以降

Citrixのセキュリティ情報（CTX697174）によると、この脆弱性の内容は「メモリオーバーフローによるサービス拒否（DoS）」で、弱点の種類はCWE-119（メモリバッファの範囲外操作）だ。さらに、影響を受けるのは、機器がSAMLのサービスプロバイダー（SP）またはIDプロバイダー（IdP）として設定されている場合だ。上の表のバージョンに該当しても、SAML認証を使っていなければ影響を受けない。確認は、設定に add authentication samlAction（SP）または add authentication samlIdPProfile（IdP）の記述があるかで行う。Secure Private Access Hybridの構成でNetScalerを使っている場合も対象とされている。なお、このセキュリティ情報の対象は利用者が自分で管理する機器で、Citrixが管理するクラウドサービスやAdaptive Authenticationは、Cloud Software Groupが更新する。

バージョンの確認方法は、NetScalerの公式製品マニュアルを参照のこと。

CVSSベクタCVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N（評価者：NetScaler）は、ネットワーク越しに攻撃複雑度が低く、認証不要・利用者操作不要で到達可能であることを示す。可用性（VA:H）への影響が高評価で、機密性・完全性への影響はない（VC:N/VI:N）と評価されている。つまり、情報の漏えいや改ざんではなく、サービスの停止が主な影響だ。

日本企業にとっての実務的重み：KEV掲載をどう読むか

CISA KEVは、実際の攻撃での悪用が確認された脆弱性を掲載するカタログで、CVE-2026-88779も掲載されている。NetScalerはVPNやロードバランサー、認証ゲートウェイとしてネットワークの境界に置かれることが多い。ただし、影響を受けるのはSAMLのサービスプロバイダー（SP）またはIDプロバイダー（IdP）として設定されている機器で、攻撃の具体的な手口や攻撃者の情報は確認できていない。

CVE-2026-88779 への対処

• 修正版へ更新する：ADCとGatewayの14.1は14.1-73.41以降、13.1は13.1-64.28以降（FIPS／NDcPP版は14.1-73.41 FIPS以降、13.1-37.282以降）。詳細はCitrixのセキュリティ情報（CTX697174）を参照。
• 公式の回避策：示されていない（更新の適用が対処として案内されている）。
• CISAの対処期限：2026年10月7日（米連邦政府機関向け）。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

---

参考文献

• CVE公式記録 CVE-2026-88779（cve.org）：https://www.cve.org/CVERecord?id=CVE-2026-88779
• NVD（国立脆弱性データベース）CVE-2026-88779：https://nvd.nist.gov/vuln/detail/CVE-2026-88779
• CISA 既知の悪用された脆弱性カタログ（KEV）：https://www.cisa.gov/known-exploited-vulnerabilities-catalog