Citrix NetScaler にゼロデイ2件（CVE-2026-88771 / CVE-2026-88772）— 公表の数週間前から攻撃

何が起きたか

9月27日、Citrix は NetScaler ADC と NetScaler Gateway の欠陥2件を修正し、すでに悪用されていると公表しました。CVE-2026-88771 は初期設定のままでも、ログインなしで装置に好きな命令を実行させられるものです。CVE-2026-88772 は VPN 用の DTLS を使う設定（VPN では初期設定で有効）で、装置を乗っ取られたり止められたりするおそれがあります。どちらも CVSS v4.0 で 9.5 とされます。

攻撃は公表の数週間前から続いていたと指摘され、乗っ取った装置には裏口（Web シェル）が置かれ、痕跡を消す操作もされていました。CISA は同日 KEV に追加しています。

影響を受けたのは

• NetScaler ADC / Gateway 14.1-73.37 より前、13.1-64.23 より前（自社で運用しているもの）
• FIPS 版は 14.1-73.37 FIPS、13.1-37.279 FIPS / NDcPP で修正

自社で確認したいこと

• 修正版へすぐ更新する
• 更新の前に、装置のログを少なくとも1か月分保存しておく
• 更新後に Web シェルなど侵入の痕跡を調べ、見つかれば専門家に調査を頼む（Citrix は自社の検知手段だけでは見落とすおそれがあるとしています）