Citrix NetScaler零日漏洞遭利用，CISA要求10月7日前修复

10月5日消息，Citrix已针对NetScaler ADC和NetScaler Gateway发布安全更新，修补一个已在真实攻击中被利用的高危漏洞。该漏洞编号为CVE-2026-88779，CVSS v4评分为8.7，未经身份验证的远程攻击者可借此让设备持续处于拒绝服务状态。美国网络安全和基础设施安全局（CISA）已于10月4日将其收录进"已知被利用漏洞"（KEV）目录。

漏洞影响哪些设备

据Citrix披露，这是一个内存溢出类缺陷，被归类为CWE-119（内存缓冲区边界内的操作限制不当），影响客户自行管理的NetScaler部署。触发前提是设备启用了SAML认证，无论设备扮演的是服务提供方（SP）还是身份提供方（IdP）角色。

Citrix表示，已经观察到针对未缓解设备的定向攻击。如果攻击条件被反复触发，相关服务可能长时间无法恢复。按厂商目前的分析，漏洞影响的是服务可用性，尚未发现客户数据完整性受损。

NetScaler通常部署在企业网络边界，承担负载均衡、远程访问网关和单点登录等职责。网关一旦宕机，挂在后面的业务系统、远程办公入口和对外服务都会一起"失联"，哪怕后端服务器本身完全正常。

CISA给出的修复期限

CISA将该漏洞加入KEV目录后，要求美国联邦民事行政部门在10月7日前完成修复，留给运维团队的时间只有三天左右。Citrix建议受影响客户尽快升级到对应的修复版本；使用NetScaler Console的用户，可以通过其CVE检测流程定位受影响实例，并直接从实例视图发起升级。

安全媒体同时提到，近期另有两个NetScaler漏洞（CVE-2026-88771和CVE-2026-88772）被用来在受害设备上植入Web Shell和隧道工具。对于已暴露在公网的NetScaler设备，除了打补丁，还建议回查设备日志和周边网络流量，重点关注异常崩溃、意外重启、配置变更和可疑的管理员操作。

这次事件值得注意的地方在于，它是一次"不需要大流量"的拒绝服务。传统DDoS依靠海量流量打满带宽或连接数，而CVE-2026-88779只需构造特定请求触发内存缺陷，就能让边界设备反复失效。高防线路和流量清洗能挡住流量型攻击，却挡不住漏洞本身导致的设备崩溃。

对于在香港、美国等地租用服务器部署业务的用户，建议把"可用性防护"拆成两层来看：一层是香港高防服务器、香港高防IP这类产品负责的流量清洗，另一层是网关、面板和中间件的补丁管理。不少中小团队前一层做得不错，后一层却常年停留在"装好就不动"的状态。

日常运维中，有三件事可以马上做：盘点公网暴露的网关、VPN和管理面板，逐一核对版本与厂商公告；订阅主要软件厂商的安全公告，高危漏洞尽量在72小时内处理；升级前先做快照，出现问题可以快速回滚。补丁装完之后是否真正生效，可参考我们此前的文章《美国服务器内核补丁装了不等于修好：重启这一步别省》。如果你的业务用到了SAML单点登录，这一周尤其值得把NetScaler及同类设备逐台核查一遍。


声明：本文由SellBGP编辑部依据公开渠道信息独立撰写，转载请注明出处。