CVE-2026-88771
KEV の『悪用』には未遂(脆弱でない環境やハニーポットでの試行)が含まれ、特定の組織が侵害されたことを意味しない。
KEV の登録内容
- vulnerabilityName
- Citrix NetScaler Improper Input Validation Vulnerability
- vendorProject
- Citrix
- product
- NetScaler
- dateAdded
- 2026-09-27
- shortDescription
- Citrix NetScaler ADC and NetScaler Gateway contain an improper input validation vulnerability that could allow an unauthenticated attacker to execute arbitrary commands.
- requiredAction
- Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
- dueDate
- 2026-09-30
- knownRansomwareCampaignUse
- Unknown
- forensicTriage
- Yes
- notes
- Running the provided IOCs in the NetScaler console may help identify indicators of exploitation. Customers must conduct forensic triage as directed by BOD 26‑04 and follow Citrix’s published guidance for mitigations. For more information, please see: https://community.citrix.com/techzone-blogs/110_security-updates/netscaler-adc-and-netscaler-gateway-security-bulletin-for-cve-2026-88771-through-cve-2026-88778 ; https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX697096 ; https://support.citrix.com/external/article/CTX694799/steps-to-take-if-netscaler-adc-is-suspec.html ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-88772
- cwes
- CWE-119
観測した変更
取り込み開始以降、KEV の値の変更は観測していません。
JPCERT/CC 注意喚起
国内状況のラベルは語彙による機械的な分類です。記述の内容は引用(JPCERT/CC の文)で確かめてください。
NetScaler ADCおよびNetScaler Gatewayにおける複数の脆弱性（CVE-2026-88771、CVE-2026-88772等）に関する注意喚起
- 国内での稼働を確認(被害ではない) 「JPCERT/CCでは、当該製品が国内で広く利用されていることを確認しています。」
- 国内で悪用通信・攻撃試行を観測 「また、海外のセキュリティ組織による観測では、2026年9月24日以降、日本国内のNetScalerを対象とした攻撃試行が確認されています。」
出典: JPCERT/CC 注意喚起。引用の範囲(タイトル・URL・日付・国内状況の短い引用)に留め、本文は転載していません。 詳しくは出典表記とライセンス。
CVE レコード(CVE Program)
- state
- PUBLISHED
- datePublished
- dateUpdated
CNA の affected
- Citrix NetScaler ADC
- Citrix NetScaler Gateway
KEV と CNA で製品の表記が異なる。KEV の vendorProject・product と CNA の affected が、大文字小文字を無視した包含で一致しなかった(機械的な照合で、どちらが正しいかは判定していない)。
外部のページ
出典: CISA Known Exploited Vulnerabilities Catalog(CISA KEV。CC0 1.0)。 詳しくは出典表記とライセンス。
出典: CVE Program(CVE レコード)。詳しくは出典表記とライセンス。
Copyright © 1999-2026, The MITRE Corporation. CVE is a trademark and the CVE logo is a registered trademark of The MITRE Corporation. MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE™). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy.