検索NeSC を見る
脆弱性・CVE速報深刻度: 緊急

Citrix NetScaler ADC / Gateway の欠陥 3 件が KEV に追加（9/27・10/4）

World Security 編集部
目次（6）

CVE-2026-88771

CVE-2026-88772

CVE-2026-88779

Citrix の負荷分散装置 NetScaler ADC と、VPN 機能の NetScaler Gateway に、欠陥 3 件が見つかり、いずれも悪用が確認されました。日付が 2 回に分かれて KEV に入っています。

KEV とは、米国の CISA が「実際に悪用された」と確認した脆弱性の一覧です。

何が問題か

CVE-2026-88771: 入力の確認が不十分な欠陥（2026-09-27 追加）

入力値の検証が不十分なため、ログインなしの攻撃者が任意のコマンドを実行できるおそれがあります。CVSS は 9.5（緊急）、EPSS は約 82% です。

分類（CWE）: CWE-119

CVE-2026-88772: メモリの範囲を超えた操作ができる欠陥（2026-09-27 追加）

プログラムがメモリの範囲を越えて書き込めてしまう欠陥です。リモートコード実行、またはサービス停止（DoS）を起こせます。CVSS は 9.5（緊急）です。

分類（CWE）: CWE-119

CVE-2026-88779: メモリの範囲を超えた操作ができる欠陥（2026-10-04 追加）

同じ種類（メモリの範囲外の操作）の別の欠陥で、こちらはサービス停止（DoS）を起こせます。

分類（CWE）: CWE-119

数値で見る

CVEKEV 追加日対応期限CVSSEPSS
CVE-2026-887712026-09-272026-09-309.5（緊急・v4.0）82.2%（百分位 99.7）
CVE-2026-887722026-09-272026-09-309.5（緊急・v4.0）78.2%（百分位 99.6）
CVE-2026-887792026-10-042026-10-078.7（高・v4.0）11.4%（百分位 96.0）

ランサムウェア攻撃での悪用: KEV では「不明」です（「なかった」という意味ではありません）。

CVSS は深刻度を 0〜10 の点数にしたものです（NVD の掲載値）。EPSS は「今後 30 日以内に悪用が観測される確率」の推定で、2026-10-27 時点の値です（FIRST 調べ。日々変わります）。

KEV に載った脆弱性は「すでに悪用された」ものです。表の「対応期限」は米国の連邦機関に課される期限で、民間企業に義務はありませんが、優先度を決める目安になります。

誰が気をつけるか

NetScaler ADC（旧 Citrix ADC）または NetScaler Gateway（旧 Citrix Gateway）を運用している組織。

今やること

  1. 自社の資産一覧で、対象の製品とバージョンを使っているか確認します（委託先や別拠点の運用分も含めます）。
  2. 対象なら、出典のベンダー情報に従って、修正版への更新または緩和策を行います。KEV が示す対応は「ベンダーの手順に従った緩和策の適用」です。
  3. Citrix のセキュリティ情報（出典のリンク）で、3 件分の修正版を確認します。
  4. 更新後に、侵害が疑われるときの確認手順（Citrix のサポート記事）も参照します。
  5. CISA はこの欠陥（CVE-2026-88771・CVE-2026-88772）について、フォレンジックトリアージ（被害の痕跡を調べる初動調査）を求めています。更新の前に、ログと設定のコピーを残し、侵入された形跡がないかを確認します。
  6. 対応期限（2026-09-30・2026-10-07）はすでに過ぎています。未対応なら、今日のうちに着手してください。

用語メモ

  • KEV: 米国の CISA（サイバーセキュリティ・社会基盤安全保障庁）が「実際に悪用された」と確認した脆弱性の一覧。
  • リモートコード実行: 離れた場所から、相手の機器で好きなプログラムを動かせること。
  • サービス拒否（DoS）: 細工した通信などで、サービスを止めてしまう攻撃。
  • フォレンジックトリアージ: 被害の痕跡があるかを素早く調べ、証拠を集める初動調査。

出典

この記事について

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事