安全公司 watchTowr 于 9 月 26 日表示，Citrix NetScaler ADC 和 NetScaler Gateway 设备中存在两个新的未修补的零日漏洞，这些漏洞允许远程代码执行，并且正在被积极利用。
Citrix 尚未确认这些缺陷或发布修复程序。一些管理员表示，他们已将设备下线，而不是等待修复程序的发布。
NetScaler ADC 和 NetScaler Gateway 位于企业网络的边缘，处理 VPN 和远程访问、负载均衡和用户身份验证。
这些新缺陷并不是 Citrix 于 8 月 19 日修复的身份验证绕过漏洞 CVE-2026-19490，CISA 于 9 月 9 日将其添加到已知被利用漏洞目录中。
watchTowr 将这些新缺陷描述为未修补，并且绕过的修复程序自 8 月 19 日以来就已存在。Citrix 尚未说明 8 月构建版本 14.1-73.32 和 13.1-63.21 或任何更新版本是否受到新缺陷的影响。
watchTowr 在 9 月 26 日的第一条 X 帖子中表示，它正在回应关于多个未修补的 NetScaler RCE 漏洞的流言。“虽然细节稀少，但信息是可信的，”它写道。
在 22:19 UTC 的后续帖子中提供了更详细的情况：两个漏洞，均为远程代码执行，均未修补，在任何修复程序存在之前就被利用，且在法医调查中发现，预计 Citrix 的沟通和补丁将在 9 月 28 日的那一周早些时候发布。它将进一步的问题指向 Citrix。
该公司没有发布任何证据，未指名任何受害者，也没有说明是谁的法医调查发现了利用情况。8 月，它展示了一个 Citrix 在 6 月修补的 NetScaler 堆溢出可以用于远程代码执行。
关于关闭建议的报告在同一天出现在 Reddit 上。一位在 r/Citrix 上发帖的管理员表示，他们的 IT 供应商的安全团队打电话建议立即关闭他们的 NetScaler，而没有给出细节。线程中的其他人表示，他们的组织也做了同样的事情。
供应商警告的来源尚未确定。由于没有公告，因此没有供应商的变通方案，也没有针对新缺陷发布的妥协指标。在修复程序发布之前，任何运行 NetScaler 的人的决定是是否保持在线、隔离或关闭它，以及是否将其视为已被妥协。
由于 exploitation，如 watchTowr 所描述的，发生在任何修复程序存在之前，安装修复程序不会告诉操作员攻击者是否先行入侵。
在 2025 年，在一个 NetScaler 漏洞被作为零日利用于荷兰组织后，荷兰国家网络安全中心表示，仅仅更新并不能消除风险，因为攻击者可以保持在补丁之前获得的访问权限，并建议管理员运行其检查脚本。
Citrix 针对疑似 NetScaler 妥协的现有指导建议：
首先保留证据：VPX 实例的快照、远程 syslog 服务器和 NetScaler 控制台上保存的日志、技术支持包和数据包引擎的核心转储。
将设备与网络隔离。
更改存储在设备上的每个服务帐户密码和密钥，重置通过设备登录的用户的密码，并撤销其证书和私钥。
保持管理界面不在互联网上。“NetScaler 管理服务绝不应暴露于公共互联网，”指导中表示。
荷兰机构 2025 年的检查脚本，涵盖实时设备、核心转储和完整 NetScaler 映像，是另一种选择，但有限制。
实时设备脚本的 README 表示，它查找指示妥协的文件，不特定于某个漏洞，并且没有有效性的保证。该代码最后更新于 2025 年 9 月。
哪些版本的 NetScaler 将获得修复也尚未确定。根据 Citrix 的发布计划，NetScaler 13.1 于 9 月 15 日达到维护结束，Citrix 尚未说明它是否会获得修复。
截至周日早晨，Citrix 对新缺陷尚未发布任何信息。Hacker News 已向拥有 Citrix 和 NetScaler 的 Cloud Software Group 以及 watchTowr 请求评论。
觉得这篇文章有趣吗？请在 Google News、Twitter 和 LinkedIn 上关注我们，以阅读我们发布的更多独家内容。