チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「うちの会社もCitrix NetScalerを使っているけど、今回のニュースは大丈夫なのでしょうか？」
「ゼロデイ攻撃と言われても、具体的に何をすればいいのか分からない…」
チップスボス、Citrixのゼロデイ脆弱性が悪用されてるってニュースで見たでしゅ！うちも社内でリモートアクセスに使ってる気がするでしゅ…
ボス落ち着け、チップス。Citrix NetScalerは社外からの接続窓口として多くの企業が使っている製品だ。だからこそ、今回のような脆弱性は影響範囲が広い。まずは事実を正しく知ることが第一歩だな。
2026年9月27日、Citrixは自社製品「NetScaler ADC」「NetScaler Gateway」に存在する2件のゼロデイ脆弱性が実際に悪用されていると公表しました。
いずれも未認証の攻撃者による遠隔コード実行につながる深刻な脆弱性で、未対策の環境ではすでに悪用が観測されています。
この記事では、事件の概要と脆弱性の仕組み、企業が今すぐ取るべき対応を分かりやすく解説します。
読み終える頃には、なぜこの脆弱性が危険なのか、そして自社のシステムを守るために何を確認すべきかが具体的に分かるはずです。
オススメ求人・フリーランス案件
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
【製造業向けセキュリティ運用支援】東京都・フルリモート／Zscaler・CrowdStrike・運用標準化
【Pマーク・ISMS認証取得支援】東京・東陽町（リモート併用）／セキュリティコンサルタント・PMO
【Microsoft Sentinelログ集約基盤構築】豊洲・常駐／Azure・Sentinel・設計構築
【金融機関セキュリティ方針策定・統制】東京・品川（常駐）／方針策定・脆弱性対応・統制
【全社セキュリティ戦略の策定・推進】西新宿（週2リモート）／戦略・インシデント対応・AI統制
【銀行グループ向け サイバーセキュリティ強化・改善推進PMO】中野（リモート併用）／セキュリティガバナンス・プロジェクト推進
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
セキュリティ企業watchTowrは2026年9月26日、NetScalerに未修正の脆弱性が存在すると報告しました。
これを受けCitrixは翌9月27日、公式のセキュリティ情報を公開し、2件の脆弱性（CVE-2026-88771、CVE-2026-88772）について「未対策のNetScaler環境で悪用が観測されている」と明らかにしました。
報告から公表まで1日という速さは、それだけ事態が切迫していたことを物語っています。
チップス1日でこんなに話が進むんでしゅか！？セキュリティのニュースってそんなに早いんでしゅね…
ボスゼロデイ、つまり修正パッチが存在しない段階ですでに攻撃が始まっているケースだからな。ベンダーも研究者と足並みを揃えて動く必要がある。
CVE-2026-88771はNetScaler ADC・Gatewayの全展開が対象で、CVE-2026-88772はDTLSを有効にした構成が対象です。
企業の社内システムへのリモートアクセスやアプリケーション配信の窓口として広く使われている製品だけに、影響範囲は国内外の多くの組織に及ぶとみられています。
CVE-2026-88771は入力値の検証不備が原因で、認証を経ずに任意のコマンドを実行できる脆弱性です。
特別な機能を有効にしていなくても、すべてのNetScaler ADC・Gateway環境が対象になる点が特に危険とされています。
CVE-2026-88772はメモリ処理の不備に起因し、DTLSを有効にしたアプリケーションでコード実行またはサービス停止を招く恐れがあります。
DTLSはVPN用の仮想サーバーで標準的に有効化されているため、明示的に無効化していない限りNetScaler Gatewayも対象です。
ポイントは以下の通りです。
| 脆弱性 | 概要 | 影響 |
|---|---|---|
| CVE-2026-88771 | 入力検証不備による未認証のコマンド実行 | 全展開が対象 |
| CVE-2026-88772 | メモリ処理不備による遠隔コード実行・DoS | DTLS有効時が対象 |
チップス認証なしでコマンドが実行されちゃうんでしゅか…それって外から誰でも侵入できるってことでしゅよね？
ボスその通りだ。しかも回避策は存在しない。修正版へのアップデートだけが唯一の対処法だと、Citrixも明言している。
Citrixは2026年9月27日、NetScaler ADC・Gatewayの14.1-73.37および13.1-64.23、FIPS対応版として14.1-73.37 FIPS、13.1-FIPS/NDcPP向けの13.1-37.279を公開しました。
該当バージョンを利用している組織は、速やかな適用が求められます。
すでに侵害が疑われる環境では、証跡の保全、該当機器の隔離、認証情報のリセットも合わせて検討する必要があります（出典：Citrix公式セキュリティ情報 ）。
今回のCitrix NetScalerのゼロデイ脆弱性は、未認証のまま遠隔からコード実行が可能という点で極めて深刻です。
回避策がない以上、該当製品を利用する組織は修正版の適用を最優先で進める必要があります。
日頃からベンダーのセキュリティ情報を確認する習慣が、被害を防ぐ第一歩になります。
チップス今すぐ社内の情シスさんに確認してもらうでしゅ！
ボスその心がけが大切だ。セキュリティは気づいたときにすぐ動くことが何より重要だからな。
オススメ求人・フリーランス案件
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
【製造業向けセキュリティ運用支援】東京都・フルリモート／Zscaler・CrowdStrike・運用標準化
【Pマーク・ISMS認証取得支援】東京・東陽町（リモート併用）／セキュリティコンサルタント・PMO
【Microsoft Sentinelログ集約基盤構築】豊洲・常駐／Azure・Sentinel・設計構築
【金融機関セキュリティ方針策定・統制】東京・品川（常駐）／方針策定・脆弱性対応・統制
【全社セキュリティ戦略の策定・推進】西新宿（週2リモート）／戦略・インシデント対応・AI統制
【銀行グループ向け サイバーセキュリティ強化・改善推進PMO】中野（リモート併用）／セキュリティガバナンス・プロジェクト推進
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
