Rapid7は2026年10月19日、Citrix NetScaler ADCの脆弱性2件を組み合わせた侵入事例を公表しました。攻撃者は再起動後の障害処理を悪用し、システム全体を操作できるroot権限でコードを実行していました。利用企業は、機器の版の確認に加え、侵入の痕跡や設定情報の持ち出しも調べる必要があります。
再起動後の障害処理を使ってコードを実行
Rapid7が2026年10月上旬に調査した機器は、脆弱性のある14.1ビルドを使用していました。確認されたのは、認証前にログを汚染してコード実行につなげるCVE-2026-88771と、認証情報を扱うSAMLの解析時にクラッシュを起こすCVE-2026-88779の連鎖悪用です。
攻撃者は、認証要求のユーザー名にコマンド文字列を仕込みました。その文字列が残った状態で再起動し、障害処理が文字列を処理すると、root権限で実行される流れです。Rapid7は複数のログとファイルの時刻を照合し、この経緯を確認しました。再起動とコード実行は数日間にわたって繰り返されていました。
このため、再起動の記録を単なる機器障害として扱わず、認証要求や障害処理の記録と突き合わせることが重要です。提供された資料には、影響を受けるビルドの全範囲や修正版の番号はありません。14.1という番号だけで、すべての機器の影響を断定することはできません。
機器内への潜伏だけでなく、内部調査と設定流出も
Rapid7は、遠隔操作用のPHP製Webシェルを確認しました。これはCookieで認証し、CSSファイルのようなURLとHTTP 404応答で通信を偽装していました。404応答だけを見て、不正な操作が失敗したと判断しないことが大切です。
攻撃者は、定期実行を行うcronや起動スクリプトなど、複数の方法で侵入状態を維持していました。さらに、冗長構成であるHAの相手機器へのファイル同期と強制切り替えによって、アクセスの維持を試みていました。片側だけの確認では、調査が不十分になるおそれがあります。
機器を踏み台に内部へ接続するTCPトンネルも設置されていました。回収されたGo製ツールの偵察対象には、DNS、LDAP/AD、管理サービス、VMware vCenterが含まれます。偵察結果は圧縮され、攻撃者側へ送られていました。
NetScalerの設定情報と鍵関連データの持ち出しも確認されています。収集対象には過去の設定やシステムバックアップも含まれました。設定アーカイブには暗号化された認証情報やSSL秘密鍵が含まれる可能性があるため、機器の復旧と情報流出の評価を分けて進める必要があります。
影響する会社・しない会社
- 影響する: Citrix NetScaler ADCを利用し、脆弱性のある14.1ビルドを稼働させている会社です。委託運用の場合も、運用先に利用版と調査状況を確認する必要があります。
- 影響する: 該当機器をHA構成で運用する会社です。報告では相手機器への同期と切り替えも試みられており、調査対象を片側に限定しないことが重要です。
- 影響しない: 自社にも委託先にもNetScaler ADCの利用がない会社は、今回の報告に基づく同機器の点検対象ではありません。ただし、他の版を一律に影響なしと判断できる条件は、提供された資料にはありません。
日本での提供は発表には書かれていません。日本国内での被害の有無も、提供された資料には記載されていません。
情シスが今日やること
- 今日の初動で、利用機器とビルドを一覧化します。 IT資産台帳と運用記録を確認し、NetScaler ADCの利用有無、稼働中のビルド、HA相手機器を整理します。委託先には同じ項目の回答を依頼します。
- 対応方針を決める前に、更新条件を確認します。 保守窓口や運用委託先へ2件のCVE番号を伝え、対象ビルドと修正版を確認します。資料には修正版番号や適用期限がないため、確認結果を基に作業時期を決めます。
- 調査担当者にログとファイルの照合を依頼します。 認証要求、再起動、障害処理の記録とファイル時刻を突き合わせます。Rapid7が侵害指標として公開した
/nsconfig/.slap/などのパスや、cron、起動スクリプトも確認対象にします。
- 侵害が疑われる場合は、調査範囲と流出評価を広げます。 HA相手機器と内部の偵察対象をネットワーク担当へ共有します。設定やバックアップの持ち出しが疑われる場合は、認証情報・秘密鍵の管理担当にも連絡し、変更や交換の要否を判断します。
