NetScaler ADC・Gateway に悪用済みの脆弱性2件。初期設定でも影響、回避策なしで更新が必要

01発表されている事実

1. 2026年8月15日

   JPCERT/CCが、別の脆弱性 CVE-2026-8452 について注意喚起（このときは悪用は未確認、攻撃コードが公開済み）

2. 2026年9月24日以降

   JPCERT/CCによると、海外のセキュリティ組織が日本国内の NetScaler を狙う攻撃の試みを観測（今回の脆弱性を狙ったものかは不明）

3. 2026年9月27日

   Cloud Software Group がセキュリティ公報 CTX697096 を公開

4. 2026年9月28日

   JPCERT/CCが注意喚起

5. 2026年10月2日

   JPCERT/CCが更新。Mandiant と GTIG が、CVE-2026-88772 の悪用後に Webサーバー設定の変更、Webシェルの設置、/bin/sh へのSUID権限の付与などを確認したと報告

Citrix が管理するクラウドサービスと Adaptive Authentication は、開発元が更新済みです。今回の公報は、利用者が自分で管理している装置が対象です。Secure Private Access のハイブリッド構成で使っている NetScaler も対象に含まれます。

02影響を受ける会社

NetScaler Gateway を社外からの接続口（VPN）にしている会社、NetScaler ADC をWebサイトの前段に置いている会社です。社外からの接続口は、ランサムウェアの侵入口として繰り返し狙われてきた場所です。初期設定のままでも影響を受けるため、「特別な機能は使っていない」という理由で後回しにしないでください。

03今すぐやること

1. 修正版に更新する。保守会社に任せている場合は、更新日と更新後の版を確認します。
2. 侵害を調べる。JPCERT/CCは、確認する場所の例として次を挙げています。
   • /etc/httpd.conf の不審な変更
   • VPN関連ディレクトリ内の不審なファイル
   • Webサーバーのアクセスログとエラーログ
   • DTLSのハンドシェイク失敗や NSPPE プロセスの異常終了
   • /tmp/.uxdport、/tmp/.uxdlock などの不審なファイル
   • /bin/sh に付いた不審なSUID権限、不審なPythonプロセス
3. 8月の CVE-2026-8452 も直っているか確かめる。8月の修正（14.1-72.61 など）を見送っていた場合も、今回の版に上げれば両方まとめて対処できます。
4. 痕跡があれば専門家へ。更新だけでは、すでに置かれたWebシェルは消えません。事故対応・フォレンジックの会社に相談してください。

04同じことを防ぐには

VPN装置の脆弱性は毎年のように悪用されています。装置の更新を確実に回せる体制を作るか、装置をインターネットに直接さらさないゼロトラスト型の接続（図鑑の「法人VPN・リモートアクセス」「ゼロトラスト・SASE」）への移行も検討してください。