Rob Wright, 高级新闻主任, Dark Reading
2026年9月29日 4分钟阅读
来源: JHVE via Shutterstock
Citrix 于9月27日披露了两个关键的 NetScaler 零日漏洞，此前关于这些漏洞被利用的报告已使客户感到不安数天。CVE-2026-88771 是一个远程代码执行 (RCE) 漏洞，CVSS 分数为 9.5，源于不当的输入验证，而 CVE-2026-88772 是一个内存溢出漏洞，CVSS 分数同样为 9.5，可能导致 RCE 和分布式拒绝服务 (DDoS) 攻击。这两个零日漏洞影响 Citrix 的 NetScaler 应用交付控制 (ADC) 和网关产品的默认配置。
“在未缓解的 NetScaler 部署上观察到了 CVE-2026-88771 和 CVE-2026-88772 的利用，”Citrix 在其公告中表示，并强烈敦促客户更新其软件。然而，关于可能的利用的公开报告首次在9月25日的 Reddit 线程中出现，且根据 watchTowr 的创始人兼首席执行官 Benjamin Harris 的说法，还有额外证据表明攻击“至少在一周前”就已开始。
相关：AI 代理是特权用户；谁在审计他们的访问？
NetScaler 攻击的沟通失误
9月25日，几位 Citrix 用户在 Reddit 上指出，IT 供应商和安全团队正在敦促他们禁用 NetScaler 设备。此外，一位 Reddit 用户发布了来自荷兰国家网络安全中心 (NCSC-NL) 的私人预通知，警告可能发生 NetScaler 零日攻击，但后来被删除。根据 Tenable 关于利用活动的常见问题解答，该警报是在交通灯协议 (TLP) 下分发的：AMBER+STRICT 限制，这限制了此类信息的公开共享。
9月26日，watchTowr 在社交媒体帖子中警告 NetScaler 客户可能面临零日攻击。“我们目前正在迅速应对关于多个未修补的 Citrix NetScaler RCE 漏洞在野外传播的谣言，”该公司在 X 上的一篇帖子中表示。“虽然细节稀缺，但信息是可信的。”
当天晚些时候，Harris 在 LinkedIn 上发布消息称这些谣言属实。“虽然细节稀缺，但我们现在已与权威来源确认了这些谣言，”他写道。“请认真对待此事，并立即将 NetScaler 设备下线。”
然而，Citrix 直到第二天才披露这些零日漏洞，以及其他几个 NetScaler 漏洞，并发布了补丁。但 Harris 指出，根据国家 CERT 等权威来源，利用活动至少在一周前就已开始。同样，GreyNoise 在昨天的一篇博客中表示，他们首次在9月24日检测到利用活动。
相关：Cisco 零日突显 API 端点身份验证问题
Citrix 对零日谣言保持沉默引发混淆
Harris 对 Citrix 在报告攻击方面保持沉默表示不满，强调在当今网络威胁环境中，利用窗口迅速缩小，“时间是至关重要的”，更不用说几天了。“零日被利用并不罕见；我们一次又一次地看到这一点，”他告诉 Dark Reading。“但我认为在这种情况下，通常的做法是让用户意识到当前存在一种无法管理的风险，当然，我认为这正是让人们感到沮丧的原因。”
Harris 还表示，watchTowr 团队分析的 CVE-2026-88771 的技术分析补丁日期为9月24日，这表明 Citrix 上周就已知晓利用活动，尽管具体时间尚不清楚。
Dark Reading 联系了 Citrix，询问该公司何时意识到利用活动以及攻击的范围。该软件制造商未对此问题作出回应，并提供了以下声明：“我们最近发现了 Citrix NetScaler ADC 和 Citrix NetScaler Gateway 中的关键漏洞，导致我们立即开发并发布了一个新版本的软件，以解决这些问题。我们始终建议客户及时采用我们软件的最新版本，我们在此强调这一指导，以确保我们的客户立即受益于此次最新版本中的更新。”
相关：MFA 无法保护您免受 OAuth 同意滥用
Harris 批评 Citrix 对零日谣言保持沉默，他表示这似乎“几乎是故意的”，并称该公司应该更早采取行动，为客户提供关于情况的明确性。相反，NetScaler 管理员发现自己陷入困境，依赖于传闻中的攻击，并争论是否应在其网络中禁用设备。“一旦谣言开始，不要让人们恐慌，”他说。
NetScaler 客户面临的风险
Harris 表示，这两个零日漏洞对企业特别危险，因为它们影响 NetScaler 产品的默认配置，并且都很容易被利用。“如果它在互联网上，它就是脆弱的，”他说，并补充说，情况对客户来说几乎没有更糟的可能性。
首先，他指出，NetScaler 被许多大型组织和企业使用，包括许多关键基础设施领域的组织，这使得攻击者拥有高价值的目标。“你还明显有一个有能力的攻击者，而这个攻击者基本上拥有每个运行 Citrix NetScaler 的组织的万能钥匙，他们实际上正在利用它，”他说。
与此同时，Palo Alto Networks 报告称，其扫描显示互联网上有超过 50,000 个暴露的 NetScaler 实例。虽然在整个组织中禁用所有 NetScaler 设备可能看起来很激进，但 Harris 表示，在这种情况下，这可能是合理的。如果组织无法更新到修复版本的 NetScaler ADC 和 Gateway，他们应该考虑禁用这些产品。
关于作者
高级新闻主任, Dark Reading
Rob Wright 是一名拥有超过 25 年技术新闻记者经验的资深记者。在加入 Dark Reading 担任高级新闻主任之前，他曾担任多家媒体的记者。