Rapid7は2026年10月19日、NetScaler ADCへの侵入事例の分析を公開しました。10月上旬に調査した14.1系列の機器では、CVE-2026-88771とCVE-2026-88779を組み合わせた攻撃によりroot権限でコードが実行され、Webシェルの設置や設定情報の持ち出しが確認されました。
Rapid7は、両脆弱性に対応した版への更新と、攻撃期間に脆弱なままインターネット公開していた機器の調査を勧めています。
ユーザー名に仕込んだ命令を再起動後に実行
CVE-2026-88771は、認証前の入力検証の不備からコマンドを実行できる問題です。Cloud Software Groupの評価はCVSS v4.0で9.5です。
CVE-2026-88779は、SAMLのSPまたはIdPとして構成した機器で、メモリーの問題により認証なしでサービス拒否を起こす脆弱性です。Cloud Software Groupの評価はCVSS v4.0で8.7です。
Rapid7は、攻撃者がユーザー名へ命令を仕込み(CVE-2026-88771)、SAML処理でクラッシュと再起動を起こした(CVE-2026-88779)と分析しています。再起動後、クラッシュ情報の送信処理が残された文字列を処理し、root権限で攻撃者の命令を実行していました。この連鎖は、SAMLのSPまたはIdPとして構成した機器が対象です。CVE-2026-88771は単独でも、追加機能を有効にしていないデフォルト構成のADC/Gatewayに影響します。
再起動後も動く仕組みと内部ネットワーク調査
侵入後にはPHPのWebシェル、起動時の実行設定、定期実行タスク、外部との通信経路など、複数の方法でアクセスを維持していました。HA構成の相手ノードへファイルを同期し、フェイルオーバー後も不正アクセスを維持しようとする処理も見つかっています。
さらに、内部のDNS、LDAP/Active Directory、管理サービス、VMware vCenterなどを調べるツールが使われました。NetScalerの設定ディレクトリーやバックアップは外部へ送信され、収集対象には認証情報やSSL秘密鍵などを含み得るデータがありました。
修正版へ更新し、HAの両ノードを調べる
Rapid7は、侵害が疑われる機器では、再起動や再構築の前に揮発性の証拠を保全し、HAの両ノードを調べるよう勧めています。
公式告知は顧客管理のADC/Gatewayが対象で、Secure Private Access Hybrid内のNetScalerも含みます。Citrixが管理するクラウドサービスとAdaptive Authenticationは、開発元が更新します。
開発元のCVE-2026-88779向け告知にある更新先は次のとおりです。いずれもCVE-2026-88771の修正を含むビルドです。表は公式告知に記載されたサポート中の系列で、それ以外の旧系列は提供元に移行先を確認してください。
| 製品・系列 | 更新先 |
|---|---|
| ADC/Gateway 14.1 | 14.1-73.41以降 |
| ADC/Gateway 13.1 | 13.1-64.28以降 |
| ADC 14.1-FIPS | 14.1-73.41 FIPS以降 |
| ADC 13.1-FIPS / 13.1-NDcPP | 13.1-37.282以降 |
Rapid7は調査用の痕跡として、/nsconfig/.slap/、/nsconfig/.relay/、/flash/.nsvm/、setuidが設定された/bin/sh、不審なApache設定、認証プロセスのクラッシュと再起動の記録、機器からの外向き通信と内部ネットワークへのスキャンを挙げています。
また、同社はLDAP/RADIUSの認証情報の変更や暗号鍵の差し替えなど、/nsconfig経由で露出した情報の差し替えを推奨しています。詳細な痕跡とファイルのハッシュ値はRapid7の分析に掲載されています。
コメント