しらべベース / 全サイトを探すアカウント防犯しらべの条件検索・比較保存範囲・台帳

NetScalerの脆弱性とは？ CVE-2026-88771の対象版と対策（2026年9月28日公表）

・ 更新 ・ アカウント乗っ取り・注意喚起速報ニュース編集部（AI 執筆）

アカウント乗っ取りパスワード流出不正ログイン二段階認証フィッシングCitrixNetScalerVPN

この記事のポイント: JPCERT/CC と IPA は2026年9月28日、Citrix NetScaler ADC と NetScaler Gateway に8件の脆弱性（CVE-2026-88771〜88778）があると注意喚起しました。うち2件は悪用した攻撃が確認されており、CVE-2026-88771 は CVSS 4.0 で9.5（Critical・NVD）。対象版は14.1系で14.1-73.37より前、13.1系で13.1-64.23より前で、14.1-73.37以降・13.1-64.23以降へのアップデートが対策です。

NetScalerの脆弱性とは？ CVE-2026-88771の対象版と対策（2026年9月28日公表）

JPCERT/CC と IPA は2026年9月28日、Citrix の「NetScaler ADC」と「NetScaler Gateway」に8件の脆弱性（CVE-2026-88771〜CVE-2026-88778）があると注意喚起しました。このうち CVE-2026-88771 と CVE-2026-88772 は、脆弱性を悪用した攻撃が既に確認されており、被害拡大のおそれがあると説明されています（出典: JPCERT/CC）。対象バージョンを運用している環境は、修正版（14.1系は14.1-73.37以降、13.1系は13.1-64.23以降）へのアップデートが最優先の対策です。

何が起きたか（要点）

JPCERT/CC の注意喚起（2026年9月28日公開）では、脆弱性を悪用されると遠隔の第三者により任意のコードが実行されたり、サービス運用妨害（DoS）の被害を受ける可能性があるとされています。最も深刻な CVE-2026-88771 は、認証していない第三者が任意のコマンドを実行できる恐れのある不適切な入力バリデーションの問題で、NVD では CVSS 4.0 で9.5（Critical）、CVSS 3.1 で9.8（Critical）と評価されています（出典: NVD）。

影響する製品とバージョンの確認方法

対象は Citrix NetScaler ADC（旧 Citrix ADC）と Citrix NetScaler Gateway（旧 Citrix Gateway）、およびその FIPS 版・NDcPP 版です（出典: JPCERT/CC・2026年9月28日）。影響を受けるバージョンは次のとおりです。

自社で NetScaler を使っている場合は、管理画面や運用手順書でバージョン番号を確認してください。管理部門の担当者は、まず情報システム担当や運用ベンダーに「NetScaler ADC または Gateway を使っているか」「バージョンはいくつか」を問い合わせるのが確認の近道です。該当する場合、修正版へのアップデートまでは環境をインターネットに公開したままにしない判断も含めて検討してください。

管理者が今すべきこと

JPCERT/CC は次の3点を対策として挙げています（出典: JPCERT/CC・2026年9月28日）。

  1. 修正プログラムの適用: NetScaler ADC / Gateway は 14.1-73.37 以降・13.1-64.23 以降へ、FIPS 版・NDcPP 版は 14.1-73.37 FIPS 以降・13.1-37.279 以降へアップデートする。
  2. 製品開発者（Citrix）が公開している手順に従い、自環境が脆弱性の成立条件を満たすかを確認する。
  3. NetScaler Console で提供される侵害指標（IoC）情報を活用し、侵害の有無を調査する。

この注意喚起がアカウント乗っ取りの観点で重要なのは、NetScaler Gateway が社外から社内システムへの VPN・認証の入り口として使われている点です。ゲートウェイ自体が乗っ取られると、従業員が VPN 経由でログインする際の通信を狙う中継点になりえます。アップデートと併せて、VPN 経由の不審なログイン記録（見覚えのない接続元や時間帯のログイン）の確認、対象バージョンだった環境での残存セッションの失効、二段階認証の有効化を推奨します（この3点は本メディアとしての一般的な推奨で、JPCERT/CC が指示した対策ではありません）。

執筆時点（2026年9月29日）で、この脆弱性による具体的な被害事例の公表は確認できていません。確認できているのは、CVE-2026-88771 と CVE-2026-88772 について攻撃が確認されていることと、対策版の提供が始まっていることです（出典: JPCERT/CC）。

よくある質問

Q. NetScalerの脆弱性（CVE-2026-88771）とは何ですか？

Citrix NetScaler ADC と NetScaler Gateway にある8件の脆弱性（CVE-2026-88771〜88778）の1つで、不適切な入力バリデーションにより認証していない攻撃者が任意のコマンドを実行できる恐れのあるものです。CVSS 4.0 で9.5（Critical）、CVSS 3.1 で9.8（Critical）と NVD で評価されています。JPCERT/CC と IPA が2026年9月28日に注意喚起を公開しました（出典: JPCERT/CC、NVD）。

Q. NetScalerの脆弱性対策はどうすればよいですか？

修正版へのアップデートが第一です。NetScaler ADC / Gateway は 14.1-73.37 以降・13.1-64.23 以降へ、FIPS 版・NDcPP 版は 14.1-73.37 FIPS 以降・13.1-37.279 以降へ上げてください（出典: JPCERT/CC）。その上で、Citrix の公開手順で自環境の成立条件を確認し、NetScaler Console の侵害指標（IoC）情報で侵害の有無を調査することが推奨されています。

Q. 自社のNetScalerが対象か確認するには？

NetScaler ADC または NetScaler Gateway（FIPS・NDcPP 版を含む）を運用していて、バージョンが対象（14.1系は14.1-73.37より前、13.1系は13.1-64.23より前、FIPS は14.1-73.37 FIPSより前、FIPS/NDcPP は13.1-37.279より前）に当てはまるかを管理画面で確認してください（出典: JPCERT/CC・NVD）。バージョンの調べ方が分からない場合は、情報システム担当や運用ベンダーに確認してください。

Q. この脆弱性でアカウント乗っ取りやパスワード流出は起きていますか？

CVE-2026-88771 と CVE-2026-88772 については悪用した攻撃が確認されていますが、執筆時点（2026年9月29日）でこの脆弱性によるアカウント乗っ取りやパスワード流出の被害事例の公表は確認できていません（出典: JPCERT/CC）。ただし NetScaler Gateway は VPN・認証の入り口という製品の性質上、侵害された環境では従業員のログイン通信が狙われる恐れがあるため、攻撃が確認されている2件を含めて早急なアップデートが必要です。

アカウント乗っ取り・パスワード流出の注意喚起を速報でお届けしているのが、このメディア「アカウント乗っ取り・注意喚起速報ニュース」です。VPN・認証基盤の脆弱性のように「今すべきこと」が変わる発表は、一次情報だけをもとに当日お届けします。

出典: JPCERT/CC 注意喚起（Citrix NetScaler ADC および NetScaler Gateway の脆弱性）、2026年9月28日公開（2026年9月29日取得）。NVD（CVE-2026-88771〜CVE-2026-88778）、2026年9月29日取得。

この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針