Citrix NetScalerに標的型攻撃で悪用のゼロデイ脆弱性、SAML連携環境でDoSの恐れ

要点

• Citrixが「NetScaler ADC」および「NetScaler Gateway」の深刻なメモリオーバーフロー脆弱性（CVE-2026-88779、CVSS 8.7）の修正パッチを公開した。

• 標的型ゼロデイ攻撃での悪用が確認されており、SAML連携を利用する環境でサービス停止（DoS）を引き起こす恐れがある。

• 影響を受けるのはSAML SPまたはSAML IdPとして構成された顧客管理環境で、設定コマンドの有無で対象か確認できる。

• Citrixはデータの完全性への影響はないとしつつ、攻撃が繰り返されるとシステム停止が継続する可能性があると警告している。

• 米CISAは本脆弱性をKEVカタログに追加し、米連邦機関に2026年10月7日までのパッチ適用を義務付けた。

• 米Citrix（Cloud Software Group）は、ネットワーク製品「NetScaler ADC」および「NetScaler Gateway」に存在する深刻な脆弱性「CVE-2026-88779」のセキュリティアップデートを公開した。本脆弱性は修正プログラムの公開前に標的型攻撃で悪用されたゼロデイ脆弱性であり、特定の構成を持つシステムをサービス停止（DoS）に追い込む危険があるという。すでに米サイバーセキュリティ・インフラセキュリティ庁（CISA）も警戒を強めており、連邦機関に対して迅速な修正パッチの適用を命じている。

脆弱性の詳細と想定される被害

今回修正されたCVE-2026-88779は、メモリオーバーフロー（確保された領域外へデータが書き込まれる不具合）に起因する脆弱性だ。脆弱性の深刻度を評価する共通脆弱性評価システム（CVSS）のスコアは10点満点中8.7で、深刻度「高（High）」に分類されている。

Citrixの発表によると、未対策の環境に対して標的型攻撃が行われていることが確認されたという。攻撃者がこの脆弱性を悪用した場合、サービス拒否（DoS）状態が引き起こされる。同社は、攻撃条件が繰り返しトリガーされた場合、対象のサービスが利用不能な状態にとどまり続ける恐れがあると警告している。一方で、現時点の分析では影響はサービスの可用性に限られており、顧客データの完全性（データの改ざんや破壊など）に対する影響は確認されていないと説明している。

影響を受ける前提条件と設定の確認

本脆弱性の影響を受けるのは、利用者が自前で運用・管理している「顧客管理型（customer-managed）」のNetScaler環境であり、なおかつ特定の認証構成が有効化されている場合である。

具体的には、NetScaler ADCまたはGatewayが、認証連携の標準規格である「SAML（Security Assertion Markup Language）」を利用し、以下のいずれかの役割として機能していることが悪用の前提条件となる。

• SAMLサービスプロバイダー（SP）: 外部認証基盤を利用してユーザー認証を行う構成
• SAMLアイデンティティプロバイダー（IdP）: 自システムが認証元となってユーザーを認証する構成

管理者は、運用中のNetScalerの設定情報を確認することで、該当する前提条件を満たしているかを判別できる。設定内に以下のエントリが存在する場合、脆弱性の影響を受ける構成となっている。

• SAML SP設定: add authentication samlAction
• SAML IdP設定: add authentication samlIdPProfile

Citrixは、Gateway機能やAAA（認証・認可・監査）機能とSAML認証を併用している環境において、この認証関連の問題が発生することを確認したと述べている。

脆弱性の発見と研究機関による検証

CitrixのCloud Software Groupは、本脆弱性を報告した外部組織として、セキュリティ企業のBishop FoxおよびwatchTowrの2社に謝辞を表明している。

報告元の一社であるwatchTowrは、ソーシャルメディア「X」への投稿において、自社が運用するNetScalerのハニーポット（攻撃活動を誘い込んで観察する囮システム）で不審な活動を検知してから、わずか数時間以内に本脆弱性の再現に成功したと明かした。実際の攻撃が観測されるなかで、脆弱性の検証も迅速に行われた形だ。

修正済みバージョン一覧

Citrixはこの問題に対処するため、サポート対象となっている各バージョン向けに修正版ファームウェアをリリースした。対応バージョンは以下の通りである。

• NetScaler ADC / Gateway 14.1系統: 14.1-73.41 以降
• NetScaler ADC / Gateway 13.1系統: 13.1-64.28 以降
• NetScaler ADC 14.1-FIPS: 14.1-73.41 FIPS 以降
• NetScaler ADC 13.1-FIPS および 13.1-NDcPP: 13.1-37.282 以降

CISAによる緊急対応と攻撃の背景

米CISAは、実環境での悪用確認を受け、本脆弱性を「悪用が確認された脆弱性（KEV）カタログ」に追加した。これにより、米国の連邦文民機関に対して2026年10月7日までに修正プログラムを適用することが義務付けられた。

NetScaler製品を巡っては、過去にも「CVE-2026-88771」や「CVE-2026-88772」といった脆弱性が悪用され、侵害されたシステム内にWebシェル（不正に外部から遠隔操作するためのスクリプト）や通信トンネリングツールが設置される被害が報告されていた。今回のゼロデイ脆弱性も同様に標的型攻撃の対象となっており、該当する構成を持つシステム管理者には警戒と速やかな対応が求められている。