VPN機器の脆弱性が公表されると、注意喚起にはたいてい「対策」と「回避策」の2つが書かれています。対策は修正版への更新です。回避策は、更新の準備が整うまでのつなぎとして、問題のある機能を設定で切るといった方法を指します。保守会社に連絡して更新の日程を決めるまで、回避策で時間を稼げることが多いのです。

2026年9月に公表された NetScaler の脆弱性では、その回避策がありませんでした。JPCERT/CC の注意喚起は、悪用が確認されていることと、開発元が回避策を提供していないことを、並べて伝えています。

時間を稼ぐ手段が無いなら、残る選択肢は「すぐに修正版を当てる」か「当てるまで機器を止める」かです。この記事では、注意喚起の内容を確かめたうえで、どちらを選ぶかを社内で決めるための問いを整理します。NetScaler を使っていない会社にとっても、次に同じ知らせが来たときの準備になります。

この記事でわかること

  • 2026年9月のNetScalerの脆弱性について、JPCERT/CCが伝えたこと
  • 「回避策が無い」とき、手元に残る選択肢
  • VPNを止めるかどうかを決めるための4つの問い
  • 修正版を当てたあとに、調べることが残る理由

注意喚起に書かれていたこと

JPCERT/CC は2026年9月28日に注意喚起を公開し、10月2日に情報を追記しました。対象は、リモートアクセスの入口として使われる NetScaler Gateway と、負荷分散装置の NetScaler ADC です。

日付内容
9月24日以降海外のセキュリティ組織が、日本国内の NetScaler を対象とした攻撃の試みを観測（今回の脆弱性を狙ったものかは明らかになっていない）
9月27日開発元の Cloud Software Group が、8件の脆弱性についてアドバイザリを公表
9月28日JPCERT/CC が注意喚起を公開
10月2日侵害の痕跡と調査方法についての情報を追記

8件のうち CVE-2026-88771 と CVE-2026-88772 の2件は、悪用されると、認証されていない外部の攻撃者が任意のコードを実行できる可能性があるものです。開発元はこの2件を悪用する攻撃を確認しています。

影響を受ける構成についても、手加減がありません。CVE-2026-88771 はデフォルトの構成を含むすべての構成が影響を受けます。CVE-2026-88772 は DTLS という通信方式が有効な構成が対象ですが、NetScaler Gateway のVPN用の設定では、DTLS は最初から有効になっています。「うちは特別な設定をしていないから大丈夫」とは言えない内容です。

そして回避策の欄には、開発元がこの2件に対する回避策を提供していない、とだけ書かれています。

「回避策が無い」とき、手元に残るもの

回避策が無いということは、修正版を当てる以外に、機器を動かしたまま穴をふさぐ方法が無いということです。手元に残る選択肢は次の2つになります。

  1. 動かしたまま、できるだけ早く修正版を当てる。 当てるまでの間は、狙われうる状態が続きます
  2. 修正版を当てるまで、機器を止める（またはインターネットから届かないようにする）。 その間、社外からの接続はできなくなります

どちらが正しいという答えはありません。今回は悪用がすでに確認されていて、国内の機器への攻撃の試みも観測されています。一方で、VPNを止めれば、在宅勤務の社員や外出先の営業担当が社内のシステムに入れなくなります。決めるのは、その会社の業務の事情です。

困るのは、この判断を知らせが来てから初めて考えることです。注意喚起を読んで、保守会社に連絡して、社長に相談して、と順に進めるうちに、1日や2日はすぐに過ぎます。

止めるかどうかを決める4つの問い

その場で迷わないために、次の4つを順に確かめます。

1. 自社の機器は対象か。 機器の製品名とソフトウェアの版を確かめます。今回の注意喚起では、14.1-73.37 より前、13.1-64.23 より前などの版が対象でした。版の確かめ方が分からない場合は、保守会社か販売店に聞くことになります。誰に聞けば答えが返ってくるかを、ふだんから把握しておくことが最初の準備です。なお、開発元が管理するクラウドサービスとして使っている場合は、開発元が更新を行っています。

2. インターネットから届く状態か。 VPN機器は、社外から接続するためにインターネット側に入口を開けています。今回のように認証の前に悪用される脆弱性では、その入口が外から届くこと自体が条件になります。入口がどこに開いているかを、構成図で示せるかどうかを確かめます。

3. 止めたら、誰が何をできなくなるか。 VPNが止まると困る業務と、代わりの手段を書き出します。在宅勤務の社員に出社してもらえるか、取引先とのやり取りに影響が出ないか、数時間なら待てるのか。代わりの手段がある業務と無い業務を分けておくと、「夜間だけ止めて当てる」「明日の朝まで止める」といった判断がしやすくなります。

4. 修正版を、誰が、いつ当てられるか。 保守契約の範囲に、緊急の更新が入っているかを確かめます。夜間や休日に作業を頼めるか、費用はどうなるか、作業のあいだVPNが止まる時間はどれくらいか。これが分からないと、「すぐに当てる」を選んでも実行できません。

4つの答えがそろえば、「対象で、外から届き、止めても半日は困らない。今夜当てる」のように決められます。逆に、どれか1つでも答えられない場合は、そこが平時に埋めておくべき穴です。

修正版を当てても、調べることが残る

JPCERT/CC の注意喚起は、修正版の適用と並べて、侵害の有無の調査を求めています。悪用がすでに確認されている以上、修正版を当てる前に入られていた可能性が残るからです。

10月2日の追記では、Mandiant と Google Threat Intelligence Group（GTIG）の報告として、侵害した攻撃者がWebサーバーの設定を変える、Webシェルと呼ばれる不正なプログラムを置く、といった、入り込んだ状態を保つための活動をしていたことが紹介されています。確認する場所として挙げられているのは、Webサーバーの設定ファイルの不審な変更、VPN関連のディレクトリに作られた不審なファイル、Webサーバーのアクセスログとエラーログなどです。

これらは、機器の内部を見られる技術者でなければ確かめられません。修正版の適用を保守会社に頼むときに、侵害の調査も依頼に含めるかどうかを、あわせて決めておきます。更新したことと、入られていないことは、別々の確認です。この点は、修正版が出る前日から攻撃されていたルーターでも詳しく扱っています。

平時に決めておけること

回避策の無い脆弱性は、これからも出てきます。知らせが来てからの1日を短くするために、次のことは平時に決めておけます。

  • VPNを止める判断を、誰がするか。 情シス担当なのか、社長なのか。不在のときの代わりは誰か
  • 止めたときの代わりの手段。 出社で足りる業務、待てる業務、待てない業務の区別
  • 保守会社への連絡先と、緊急の更新の頼み方。 契約の範囲、夜間・休日の可否、費用
  • 入口を、どこまでインターネットに出しておくか。 外から届く入口が少ないほど、今回のような知らせで影響を受ける範囲は狭くなります

最後の点は、機器を選ぶときの判断でもあります。VPN機器の入口がインターネットから直接届く構成では、認証の前に悪用される脆弱性が出るたびに、同じ判断を迫られます。

ForceLinkの設計で変わること

ForceLink は、管理画面をインターネットに出さず、外に公開する入口を必要最小限にとどめる設計のリモートアクセスです。接続はパスワードではなく端末ごとの鍵で行い、つながったあとも、ユーザーごとに許可した社内のPC・サーバー・NASにしか届きません（セキュリティの考え方）。

ただし、入口を小さくしても、修正版の適用が要らなくなるわけではありません。どの製品でも、脆弱性が見つかれば更新は必要です。ForceLink が小さくできるのは、外から届く面の広さと、万一入られたときに届く範囲です。また、ForceLink は現時点で多要素認証（MFA）に対応していません。MFAが必須の要件である場合は、要件に合う構成を別にご確認ください。

VPNを止めると、誰が困りますか？

いまのリモートアクセスの構成と、止めたときに困る業務をお聞きしたうえで、外から届く入口をどこまで減らせるかをご提案します。料金と条件はサイト上で確認できます。

料金を確認する →方式を比較する →

まとめ

  • 2026年9月のNetScalerの脆弱性では、2件で悪用が確認され、開発元は回避策を提供していなかった。VPN用の設定では最初から有効な機能も対象に含まれていた
  • 回避策が無いと、「動かしたまま早く当てる」か「当てるまで止める」かの二択になる
  • 止めるかどうかは、対象か、外から届くか、止めたら誰が困るか、誰がいつ当てられるか、の4つで決められる
  • 修正版を当てたあとも、それより前に入られていないかの調査が残る
  • 判断する人、代わりの手段、保守会社への頼み方、外に出す入口の範囲は、平時に決めておける

用語は用語集、方式の違いは比較ページ、細かい条件はFAQで確認できます。

参考・出典