执行摘要Citrix 已确认两个 NetScaler ADC 和 NetScaler Gateway 零日漏洞 — CVE-2026-88771 和 CVE-2026-88772 — 正在被利用。这两个漏洞的 CVSS 评分均为 9.5，CISA 已将其添加到已知利用漏洞 (KEV) 目录中。这些漏洞可能导致远程代码执行，使暴露的 NetScaler 设备成为高优先级的安全隐患。Citrix 已发布修复版本，同时安全团队还应评估潜在暴露的设备是否有先前被攻破的迹象。
漏洞防护工具关键问题不再仅仅是漏洞暴露，而是攻击者是否在修复发布之前已经获得了访问权限。
发生了什么？这个问题在 2026 年 9 月底浮出水面，安全研究人员报告了对易受攻击的 NetScaler 设备的利用。Citrix 随后于 9 月 27 日发布了安全公告，并确认这两个漏洞已被针对未缓解的 NetScaler 部署进行利用。这完全改变了局势。
审计网络安全我们不再处理理论上的漏洞。已经确认存在利用。
CVE-2026-88771CVE-2026-88771 是一个不当输入验证漏洞，允许未经身份验证的远程攻击者在 NetScaler 设备上执行任意命令。一个重要细节是，该漏洞影响默认配置。漏洞的相关性不需要启用额外功能。
漏洞评估服务CVE-2026-88772CVE-2026-88772 是一个内存溢出漏洞，可能导致远程代码执行或拒绝服务。它要求启用 DTLS。令人担忧的是，DTLS 默认情况下在 VPN 虚拟服务器上启用，这使得该漏洞对用于远程访问的 NetScaler Gateway 部署特别相关。
为什么 NetScaler 使这变得不同NetScaler 通常直接位于网络边缘，并处理：安全认证指南、VPN 和远程访问、身份验证、应用交付、负载均衡、流量管理。因此，成功的攻破会将一个安全敏感的边界设备置于攻击者控制之下。这使得攻破评估部分尤为重要。
漏洞防护工具补丁已可用Citrix 已为受影响的版本发布了修复版本。NetScaler ADC / Gateway 14.1修复版本：14.1-73.37 及更高版本NetScaler ADC / Gateway 13.1修复版本：13.1-64.23 及更高版本漏洞评估服务对于 FIPS 和 NDcPP 部署，Citrix 提供了单独的修复版本，包括 13.1-37.279。组织应核实与 Citrix 的安全建议相符的确切运行版本。一个重要细节是，之前为 CVE-2026-19490 更新的设备可能仍然易受这些新问题的影响。
IOC 情况在这里我会小心。在撰写时，公开报告并未提供完整和可靠的攻击者 IP 地址、域、文件哈希或其他可以视为全面检测集的传统 IOC。
安全认证指南Citrix 已通过 NetScaler 控制台安全建议提供了 IOC 扫描功能，可以帮助组织识别与利用相关的指标。但 IOC 扫描不应被视为设备从未被攻破的证据。对于防御者，可用的检测方法应包括：运行 NetScaler 控制台安全建议 IOC 扫描，审查 NetScaler 身份验证和访问日志，审查 VPN 和 AAA 活动，查找异常的管理活动，检查意外的配置更改，调查意外的进程或文件，审查设备的出站连接，保留相关的支持包和日志，将 NetScaler 活动与 SIEM 远程监控数据关联。我还会避免将在线流传的随机 IP 地址或哈希视为确认的 IOC，除非它们可以追溯到可信的调查。
安全团队应关注的内容第一步是了解实际的暴露情况。
漏洞防护工具NetScaler 清单不要仅依赖 CMDB。检查：互联网面向的 IP 范围、外部 DNS、VPN 基础设施、负载均衡器、远程访问基础设施、云部署、灾难恢复环境、业务部门拥有的设备。
构建和配置核实确切的 NetScaler 构建，并确定 DTLS 是否启用，特别是在 VPN 虚拟服务器上。
安全认证指南妥协迹象审查：身份验证活动、管理操作、配置更改、意外的进程或文件、出站连接、VPN 和 AAA 活动、相关的 SIEM 警报。跨以下内容关联活动：NetScaler → 防火墙 → VPN → 身份 → 终端 → SIEM。如果确认或强烈怀疑存在攻破，请审查可能从设备访问的凭据、证书、令牌和其他秘密。
同一公告中的其他漏洞Citrix 的 9 月 27 日安全公告涵盖的不仅仅是两个被利用的零日漏洞。
漏洞评估服务它还涉及：CVE-2026-88773 — HTTP 请求走私、CVE-2026-88774 — 安全策略相关漏洞、CVE-2026-88775 — 内存溢出、CVE-2026-88776 — 内存溢出、CVE-2026-88777 — 内存溢出、CVE-2026-88778 — 可预测的 TCP 初始序列号。当前的利用确认适用于 CVE-2026-88771 和 CVE-2026-88772。
更大的收获此次事件与其说是另一个高 CVSS 漏洞，不如说是以下组合的结果：安全认证指南、互联网面向的设备 + 零日 + 活跃利用 + 远程代码执行 + CISA KEV。对于安全团队，立即关注的应是了解暴露和潜在攻破情况，以及供应商的修复要求。