SAML 前提の NetScaler メモリオーバーフロー — CVE-2026-88779 が KEV に (期限 10 月 7 日)
Citrix は NetScaler ADC / Gateway のメモリバッファ境界制限の不備 (CVE-2026-88779、CVSS v4.0 8.7、CWE-119) を公開した。Citrix は緩和されていないデプロイへの対象的な攻撃を観測し、これがサービス拒否につながり得ると述べている。CISA の KEV 追加は脆弱性の悪用を示し、短い説明はサービス拒否を許し得ると述べる。いずれも対象デプロイの停止までは確認していない。CISA は 10 月 4 日に KEV へ追加し、連邦機関の期限は 10 月 7 日である。9 月 27 日追加の CVE-2026-88771 と CVE-2026-88772 を含め、2 週間以内に追加された NetScaler の KEV としては 3 件目であり、同製品の通算 3 件目ではない (カタログには CVE-2023-4966 など、より前の項目がある)。Global Deny List シグネチャ (v24 以降) が当面の緩和、修正は 14.1-73.41 / 13.1-64.28 以降。
2026 年 10 月 3 日 (太平洋時間)、Citrix は NetScaler ADC (旧称 Citrix ADC) と NetScaler Gateway (旧称 Citrix Gateway) の脆弱性 CVE-2026-88779 を、セキュリティ・ブレット CTX697174 とコミュニティの解説記事で公開した。分類は CWE-119 (メモリバッファ内での操作の制限の不備) で、CVSS v4.0 ベーススコアは 8.7 (CNA: NetScaler、CNA 提供)。影響は SAML 認証を Gateway か AAA 機能と併用している顧客管理 (customer-managed) の NetScaler デプロイに限定される。対象バージョンは ADC と Gateway 14.1 の 14.1-73.41 未満、13.1 の 13.1-64.28 未満、ADC FIPS の 14.1-73.41 FIPS 未満、ADC FIPS と NDcPP の 13.1-37.282 未満 (Citrix CTX697174、NVD 2026 年 10 月 4 日公開)。Citrix は緩和されていないデプロイへの対象的な攻撃を観測し、これがサービス拒否につながり得ると述べている。CISA の KEV の短い説明は、この不備がサービス拒否を許し得るとし、カタログへの追加は脆弱性の悪用を示す。いずれも、対象デプロイが実際に停止したことまでは確認していない。Citrix の分析では、顧客データの完全性への影響は識別していない。
CISA は 10 月 4 日に本脆弱性を KEV カタログへ追加し、連邦市民行政機関には 10 月 7 日までの対応を求めている (BOD 26-04、追加から 3 日)。KEV 注記は「ベンダー指示に従い緩和を適用し、BOD 26-04 とフォレンジック・トリアージ要件に準拠する」を要求し、forensicTriage は Yes、ransomware 使用は Unknown である (CISA KEV catalog 2026.10.04、計 1,734 件)。事前条件の自己確認として Citrix は設定検査を提唱している。デプロイが (1) SAML SP として設定されているか (add authentication samlAction)、(2) SAML IdP として設定されているか (add authentication samlIdPProfile) のいずれかに該当すれば前提を満たす。Citrix が提供する Global Deny List シグネチャ (v24 以降) は 14.1-73.37 以上 14.1-73.41 未満、13.1-64.23 以上 13.1-64.28 未満で利用でき、NetScaler Console の Virtual patching 有効化と show appfw signatures での Encrypted Version 確認が前提だ。
分析 (事実と分離): 9 月 27 日に KEV へ追加された 2 件は SAML が前提ではない。CTX697096 では、CVE-2026-88771 (未認証の攻撃者が任意コマンドを実行し得る入力検証の不備) は、追加機能を要しない既定構成を含むすべての NetScaler ADC と NetScaler Gateway のデプロイが対象である。CTX697096 では、CVE-2026-88772 (リモートでのコード実行またはサービス拒否に至り得るメモリオーバーフロー) は DTLS が有効であることが前提で、VPN vServer では既定で有効である。10 月 4 日追加の CVE-2026-88779 と合わせると、2 週間以内に追加された NetScaler の KEV は 3 件である。カタログには 2023 年 10 月 18 日追加の CVE-2023-4966 を含む、より前の NetScaler の項目が既にあるため、通算の 3 件目ではない。これら 3 件の根本原因が同一かどうかは Citrix が述べていない。Citrix 管理のクラウドサービスは、顧客管理向けブレットの対象外である。
防御側への含意: (1) SAML SP / IdP の設定がある環境では、CTX697174 の対象バージョンを即座に確認し、14.1 系は 14.1-73.41 以降、13.1 系は 13.1-64.28 以降、FIPS / NDcPP 系は 14.1-73.41 FIPS / 13.1-37.282 以降へ更新するのが最優先で、9 月下旬に CTX697096 (CVE-2026-88771 以降 88778 のブレット) で更新済みの環境でも、前提条件に当てはまる場合は再更新が必要という。(2) 更新までの当面の緩和として Global Deny List シグネチャ (v24 以降) を適用し、stat denylist global AAA_REQUEST で Last Hit Time 等のカウンタが 0 より大きいかを確認するのが Citrix の確認手順である。0 より大きい値は、ルールが機能していることを示す。(3) KEV 注記の forensicTriage は Yes であり、BOD 26-04 に沿ったフォレンジック・トリアージを求めている。本脆弱性について CTX697174 が示す前提は、SAML SP (add authentication samlAction) または SAML IdP (add authentication samlIdPProfile) である。CVE-2026-88771 と CVE-2026-88772 の前提は CTX697096 に別に書かれている。