要点

• セキュリティ企業watchTowrが、Citrix NetScaler ADCおよびGatewayにおいて、遠隔からコード実行が可能な2件の未修正ゼロデイ脆弱性が悪用されていると報告した。

• 脆弱性は修正プログラムの提供前に悪用されており、Citrixからの公式確認や修正パッチは現時点で公開されていない。

• 侵害指標や公式の回避策が未公開のまま、一部のシステム管理者は機器をオフラインに移行したり停止したりする措置を取っている。

• パッチ適用だけでは事前の侵入リスクを排除できないため、Citrixの既存ガイダンスに沿った証拠保全や認証情報の刷新が求められる。

• 対象機器のうちNetScaler 13.1は2026年9月15日に保守終了を迎えており、パッチ提供対象に含まれるかは不明である。

• Citrixのネットワーク機器「NetScaler ADC」および「NetScaler Gateway」において、遠隔から不正なコードを実行できる2件の未修正ゼロデイ脆弱性（修正パッチ提供前のセキュリティ上の欠陥）が実際に悪用されていることが明らかになった。サイバーセキュリティ企業のwatchTowrが2026年9月26日に報告したもので、現時点でCitrixによる公式確認や修正パッチの提供は行われていない。修正パッチや公式発表は9月28日の週初めに行われる見通しとされているが、一部の運用現場では機器をネットワークから遮断するなどの対応が始まっているという。

パッチ未適用のゼロデイ脆弱性が発覚、過去の脆弱性とは異なる欠陥

watchTowrが2026年9月26日にソーシャルメディア「X」へ投稿した内容によると、フォレンジック調査（不正アクセスの原因究明に向けた調査）の過程で、NetScalerに対する2件の新たな脆弱性の悪用が確認されたという。いずれも遠隔から任意のプログラムを実行できる「リモートコード実行（RCE）」の脆弱性であり、ベンダーの修正パッチが存在しない状態で攻撃が行われるゼロデイの状態にあるとされる。同社は情報が信頼できるものであるとしつつも、被害組織の名称や技術的な証拠は明かしておらず、詳細な問い合わせ先としてCitrixを案内している。

今回の欠陥は、2026年8月19日にCitrixが修正し、9月9日に米サイバーセキュリティ・インフラセキュリティ庁（CISA）が悪用確認済み脆弱性カタログ（KEV）に追加した認証回避の脆弱性「CVE-2026-19490」とは異なるものだという。8月の修正版ビルド（14.1-73.32および13.1-63.21）やそれ以降のバージョンが影響を受けるかについて、Citrixからの公式な説明はまだない。なお、watchTowrは8月にも、6月にCitrixが修正したヒープオーバーフローの脆弱性が事前認証なしのRCEに悪用可能であることを公表していた。

境界機器を巡る管理者の混乱と即時シャットダウンの動き

NetScaler ADCおよびNetScaler Gatewayは、企業のネットワーク境界（エッジ）に設置され、VPNによるリモートアクセスや通信の負荷分散、ユーザー認証を担う中核機器である。

脆弱性の報告と同じ9月26日、オンラインコミュニティRedditの「r/Citrix」には、ITサプライヤーのセキュリティチームから詳細な説明なしにNetScalerを直ちに停止するよう電話で連絡を受けたとする管理者の投稿が行われた。スレッド内では、自社でも同様に機器をシャットダウンしたと報告する声が複数寄せられている。

現時点ではCitrixからの公式なセキュリティ勧告が出ていないため、有効な回避策（ワークアラウンド）や、攻撃を受けたか判別するための侵害指標（IoC: 侵入痕跡を示すデータ）も公開されていない。そのため運用者は、修正パッチが提供されるまでの間、機器を稼働させ続けるか、隔離するか、電源を切るかという判断を迫られている状況だ。

事前悪用に伴う侵入潜伏のリスクと過去の教訓

watchTowrによると、今回の攻撃は修正パッチが存在しない段階で行われている。そのため、後からパッチを適用したとしても、パッチ適用前に攻撃者が侵入していたかどうかまでは判別できないという課題が残る。

過去にも同様の事例が存在する。2025年にNetScalerの脆弱性がオランダの組織に対するゼロデイ攻撃に悪用された際、オランダ国家サイバーセキュリティセンター（NCSC）は、アップデートの適用だけでは事前に侵入した攻撃者のアクセス権を排除できないと指摘した。当時NCSCは、稼働中の機器やコアダンプ（メモリ状態の記録データ）、システムイメージを検査するスクリプトの実行を管理者に求めていた。ただし、このスクリプトは侵害を示すファイルを汎用的に探すものであり、特定の脆弱性に特化したものではなく、有効性が保証されているわけではない（最終更新は2025年9月）。

侵害が疑われる場合の推奨手順とサポート期限の課題

Citrixが公開している既存の侵害対応ガイダンスでは、NetScalerの侵害が疑われる場合に以下の手順を実施するよう定められている。

• 証拠の保全: 仮想インスタンス（VPX）のスナップショット、syslogサーバーやNetScaler Consoleに保存されたログ、テクニカルサポート向けログバンドル、およびパケットエンジンのコアダンプを保存する。
• ネットワークからの隔離: 影響を受けたアプライアンスを速やかにネットワークから切り離す。
• 認証情報と鍵の刷新: 機器に保存されている全サービスアカウントのパスワードや機密情報（シークレット）を変更し、当該機器を経由してログインしたユーザーのパスワードをリセットする。さらに証明書と秘密鍵を失効させる。
• 管理インターフェースの非公開: 「NetScaler Management Servicesをパブリックインターネットに公開してはならない」という原則に従い、管理画面の

Citrix NetScalerで2件の未修正RCEゼロデイ脆弱性が悪用中、セキュリティ企業が警告

要点

• セキュリティ企業watchTowrが、Citrix NetScaler ADCおよびGatewayにおいて、遠隔からコード実行が可能な2件の未修正ゼロデイ脆弱性が悪用されていると報告した。

• 脆弱性は修正プログラムの提供前に悪用されており、Citrixからの公式確認や修正パッチは現時点で公開されていない。

• 侵害指標や公式の回避策が未公開のまま、一部のシステム管理者は機器をオフラインに移行したり停止したりする措置を取っている。

• パッチ適用だけでは事前の侵入リスクを排除できないため、Citrixの既存ガイダンスに沿った証拠保全や認証情報の刷新が求められる。

• 対象機器のうちNetScaler 13.1は2026年9月15日に保守終了を迎えており、パッチ提供対象に含まれるかは不明である。

• Citrixのネットワーク機器「NetScaler ADC」および「NetScaler Gateway」において、遠隔から不正なコードを実行できる2件の未修正ゼロデイ脆弱性（修正パッチ提供前のセキュリティ上の欠陥）が実際に悪用されていることが明らかになった。サイバーセキュリティ企業のwatchTowrが2026年9月26日に報告したもので、現時点でCitrixによる公式確認や修正パッチの提供は行われていない。修正パッチや公式発表は9月28日の週初めに行われる見通しとされているが、一部の運用現場では機器をネットワークから遮断するなどの対応が始まっているという。

パッチ未適用のゼロデイ脆弱性が発覚、過去の脆弱性とは異なる欠陥

watchTowrが2026年9月26日にソーシャルメディア「X」へ投稿した内容によると、フォレンジック調査（不正アクセスの原因究明に向けた調査）の過程で、NetScalerに対する2件の新たな脆弱性の悪用が確認されたという。いずれも遠隔から任意のプログラムを実行できる「リモートコード実行（RCE）」の脆弱性であり、ベンダーの修正パッチが存在しない状態で攻撃が行われるゼロデイの状態にあるとされる。同社は情報が信頼できるものであるとしつつも、被害組織の名称や技術的な証拠は明かしておらず、詳細な問い合わせ先としてCitrixを案内している。

今回の欠陥は、2026年8月19日にCitrixが修正し、9月9日に米サイバーセキュリティ・インフラセキュリティ庁（CISA）が悪用確認済み脆弱性カタログ（KEV）に追加した認証回避の脆弱性「CVE-2026-19490」とは異なるものだという。8月の修正版ビルド（14.1-73.32および13.1-63.21）やそれ以降のバージョンが影響を受けるかについて、Citrixからの公式な説明はまだない。なお、watchTowrは8月にも、6月にCitrixが修正したヒープオーバーフローの脆弱性（CVE-2026-8452）が事前認証なしのRCEに悪用可能であることを公表していた。

境界機器を巡る管理者の混乱と即時シャットダウンの動き

NetScaler ADCおよびNetScaler Gatewayは、企業のネットワーク境界（エッジ）に設置され、VPNによるリモートアクセスや通信の負荷分散、ユーザー認証を担う中核機器である。

脆弱性の報告と同じ9月26日、オンラインコミュニティRedditの「r/Citrix」には、ITサプライヤーのセキュリティチームから詳細な説明なしにNetScalerを直ちに停止するよう電話で連絡を受けたとする管理者の投稿が行われた。スレッド内では、自社でも同様に機器をシャットダウンしたと報告する声が複数寄せられている。

現時点ではCitrixからの公式なセキュリティ勧告が出ていないため、有効な回避策（ワークアラウンド）や、攻撃を受けたか判別するための侵害指標（IoC: 侵入痕跡を示すデータ）も公開されていない。そのため運用者は、修正パッチが提供されるまでの間、機器を稼働させ続けるか、隔離するか、電源を切るかという判断を迫られている状況だ。

事前悪用に伴う侵入潜伏のリスクと過去の教訓

watchTowrによると、今回の攻撃は修正パッチが存在しない段階で行われている。そのため、後からパッチを適用したとしても、パッチ適用前に攻撃者が侵入していたかどうかまでは判別できないという課題が残る。

過去にも同様の事例が存在する。2025年にNetScalerの脆弱性がオランダの組織に対するゼロデイ攻撃に悪用された際、オランダ国家サイバーセキュリティセンター（NCSC）は、アップデートの適用だけでは事前に侵入した攻撃者のアクセス権を排除できないと指摘した。当時NCSCは、稼働中の機器やコアダンプ（メモリ状態の記録データ）、システムイメージを検査するスクリプトの実行を管理者に求めていた。ただし、このスクリプトは侵害を示すファイルを汎用的に探すものであり、特定の脆弱性に特化したものではなく、有効性が保証されているわけではない（最終更新は2025年9月）。

侵害が疑われる場合の推奨手順とサポート期限の課題

Citrixが公開している既存の侵害対応ガイダンスでは、NetScalerの侵害が疑われる場合に以下の手順を実施するよう定められている。

• 証拠の保全: 仮想インスタンス（VPX）のスナップショット、syslogサーバーやNetScaler Consoleに保存されたログ、テクニカルサポート向けログバンドル、およびパケットエンジンのコアダンプを保存する。
• ネットワークからの隔離: 影響を受けたアプライアンスを速やかにネットワークから切り離す。
• 認証情報と鍵の刷新: 機器に保存されている全サービスアカウントのパスワードや機密情報（シークレット）を変更し、当該機器を経由してログインしたユーザーのパスワードをリセットする。さらに証明書と秘密鍵を失効させる。
• 管理インターフェースの非公開: 「NetScaler Management Servicesをパブリックインターネットに公開してはならない」という原則に従い、管理画面の露出を防ぐ。

また、修正パッチがどのバージョン向けに提供されるかも焦点となっている。Citrixのリリーススケジュールによると、NetScaler 13.1は2026年9月15日にメンテナンス終了（End of Maintenance）を迎えており、同バージョンに対して修正パッチが提供されるかどうかについてもCitrixは言及していない。