攻击者自九月初以来，已经在利用Citrix NetScaler ADC和NetScaler Gateway中的一个关键漏洞，Google报告称，安全更新于九月二十七日发布。国家网络安全中心（NCSC）建议组织考虑到，如果在安装更新之前，Citrix系统是可以从互联网访问的，那么该系统可能已经被黑客入侵。
Citrix在九月二十七日发布了针对NetScaler ADC和NetScaler Gateway中多个漏洞的安全更新，其中包括两个安全漏洞（CVE-2026-88771和CVE-2026-88772），攻击者已经在积极利用这些漏洞。通过这两个漏洞，未经身份验证的攻击者可以远程接管脆弱的Citrix系统。Citrix NetScaler ADC是一种服务器，组织将其放置在服务器与互联网之间。其主要功能是将传入流量分配到可用的服务器上，以确保网站和应用程序快速且良好地可访问。
通过Citrix NetScaler Gateway，企业员工可以远程访问企业应用程序、企业环境和内联网。因此，它被广泛用于远程办公。被攻陷的Citrix NetScaler系统的影响可能非常大。对CVE-2026-88771和CVE-2026-88772的利用可能已经持续了数周。攻击者通过这些安全漏洞安装webshell，以保持对被攻陷的Citrix系统的访问并执行进一步的攻击，CERT Europe和网络安全公司Greynoise早前表示。
在一项新的分析中，Google报告称，自九月初以来，CVE-2026-88772的利用已经在进行，并且来自政府机构、金融服务提供商、科技公司、教育机构以及美国和欧洲的法律和专业服务提供商的Citrix系统很可能已经被黑客入侵。Google还表示，攻击者安装webshell以攻击后端网络并窃取凭证。此外，该科技公司指出，这一攻击活动表明，边缘设备，如VPN和防火墙，仍然是攻击者获取组织网络访问的目标。
Citrix目前已经提供了多种脚本，供组织检查其系统是否被黑客入侵。“由于确认了CVE-2026-88771和CVE-2026-88772漏洞的利用，建议对在安装更新之前可从互联网访问的系统，考虑可能的早期被攻陷情况，”NCSC表示。该机构还建议组织确保相关日志记录和内存转储，以便可能的法医证据能够在对早期利用的调查中保持可用。