※本記事は一次情報をもとにAI支援によって構成・作成し、事実関係の照合を行っています。
発表内容（事実）
独立行政法人情報処理推進機構（IPA）は、2026年9月28日、NetScaler ADC（旧Citrix ADC）およびNetScaler Gateway（旧Citrix Gateway）における複数の脆弱性（CVE-2026-88771、CVE-2026-88772、CVE-2026-88773、CVE-2026-88774、CVE-2026-88775、CVE-2026-88776、CVE-2026-88777、CVE-2026-88778）に関する注意喚起を発表しました。
このうちCVE-2026-88771とCVE-2026-88772については、脆弱性を悪用した攻撃がすでに確認されています。米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）の情報によれば、世界中で脅威アクターが積極的に悪用しているとの報告があり、今後さらに被害が拡大するおそれがあるとして早急なアップデートの実施が呼びかけられています。
これらの脆弱性を悪用された場合、遠隔の第三者によって任意のコードが実行されたり、サービス運用妨害（DoS）の被害を受けたりする可能性があります。なお、CVE-2026-88772については、DTLS設定が有効であることが条件となりますが、VPN仮想サーバーではDTLSがデフォルトで有効になっています。
この記事のポイント
- 複数脆弱性の確認：NetScaler ADCおよびNetScaler Gatewayに複数の脆弱性が判明
- 悪用の確認と脅威：CVE-2026-88771およびCVE-2026-88772はすでに悪用が確認されており、遠隔コード実行やDoS攻撃を受けるおそれがある
- 影響を受けるシステム：14.1-73.37より前の14.1系、13.1-64.23より前の13.1系、およびFIPSやNDcPPの一部の古いバージョン
- 対策としてのアップデート：開発者が提供する修正済みの最新バージョンへ早急に更新する必要がある
考察（筆者の見解）
発表された情報に基づく事実として、CVE-2026-88771およびCVE-2026-88772は世界中で脅威アクターによる積極的な悪用が報告されており、影響を受けるシステムのバージョンも明確に示されています。
推測として、VPN仮想サーバーでデフォルト有効となっているDTLS設定が条件に含まれるCVE-2026-88772などは、多くの環境で該当する可能性が高いため、優先的な確認と対策が必要になると見られます。
筆者は、ネットワーク機器の脆弱性は組織全体のセキュリティ境界を揺るがす重大なインシデントに直結しやすいため、管理者は製品開発者が提供する侵害指標情報（Indicators of Compromise）や成立条件の確認手順を活用し、速やかにバージョンアップを実施することが極めて重要であると考えます。
コメント