5分钟阅读
在9月24日，威胁检测公司 GreyNoise Intelligence 观察到一个位于美国的单一 IP 地址正在扫描 Citrix NetScaler 安装并进行远程代码执行 (RCE) 攻击。该公司向客户发出了关于恶意活动的警报。
在接下来的两天里，社交媒体上出现了对 NetScaler 安装的潜在零日攻击的报告，网络安全专业人士对此进行了辩论，讨论传闻中的攻击是否属实——一些人认为这些活动针对的是已在8月修补的漏洞。然而，在9月26日，暴露管理公司 watchTowr 的创始人兼首席执行官 Benjamin Harris 呼吁 NetScaler 用户将其系统下线。“周一将为时已晚，”他在 LinkedIn 帖子中表示。
到周日，Citrix 显然同意了这一点，发布了一项更新，修补了八个漏洞（CVE-2026-88771 至 CVE-2026-88778），其中包括两个在野外被利用的零日漏洞。该博客文章并未建议在修补之前将服务器下线，而是敦促客户“立即升级到包含修复的版本”。然而，这两个零日漏洞——CVE-2026-88771 和 CVE-2026-88772——遭到了广泛的利用。
相关内容：SWIFT 银行与政府中间件启用 RCE
同一个周末，两种披露策略
同一周末，数据保护提供商 Kiteworks 采取了不同的做法。
在9月25日，该公司向客户发布了一项建议，敦促他们根据即将发生攻击的情报主动将其系统下线。在其工程团队与外部国家情报专家共同努力识别安全问题的过程中，该公司警告称可能会发生零日攻击。周一，Kiteworks 发布了一份通告，识别了漏洞并提供了修补更新。最终，该公司确定该漏洞只会影响1%的客户，Kiteworks 在声明中表示。
“告诉客户将生产系统下线并不是任何供应商轻易做出的决定，我们清楚我们在要求他们做什么，”该公司的首席信息安全官 Frank Balonis 在声明中表示。“我们还是做了，因为在确定性和便利性之间做选择时，客户数据不是我们愿意冒险的东西。这个决定使得其他事情成为可能。为了保护客户的数据，我们明天会再次做出同样的决定。”
Kiteworks 暴露的 IP 地址影响全球多个国家，但主要集中在美国和欧洲。来源：Shadowserver.org
这两种方法突显了采取激进防御措施的供应商所面临的风险。Citrix 的回应受到许多网络安全社区人士的批评，认为其反应太少、太晚。为什么该公司没有更早分享关于明显零日攻击的情报？
相关内容：您的组织准备好迎接 2027 年的人工智能问责时代了吗？
另一方面，Kiteworks 罕见地建议关闭设备，这可能被视为过度反应——尤其是因为只有1%的客户存在漏洞——或者是对可能针对其客户的重大攻击的适当反应，许多客户都是政府机构或受监管行业。
根据网络安全培训和渗透测试公司 Black Hills Information Security 的所有者 John Strand 的说法，要求客户关闭系统的决定是“疯狂的”。“这不是一次主动攻击——人们并没有被积极攻击——而供应商却告诉客户将其系统下线，”他在声明中表示。“我从未听说过这样的事情。Kiteworks 是否过度反应，或者这是否是完全正确的反应，仍有待观察，尤其是取决于修补的难易程度。”
关闭还是保持在线？
对于 Kiteworks 来说，告诉客户关闭系统的决定并不容易，Kiteworks 的首席执行官兼董事长 Jonathan Yaron 在公司的声明中表示：“行业标准是等待攻击的证据。”他说。“我们宁愿在可信的警告下采取主动，而不是等到确定性出现时再为时已晚。这是我们打算保持的标准。”
相关内容：漏洞积压是一个所有权问题
不幸的是，安全专业人士对 Citrix NetScaler 的攻击信息较少：一些人质疑恶意活动是否针对8月修补的两个漏洞（CVE-2026-19490 和 CVE-2026-19489）。Citrix 对此问题没有回答具体问题，但指向其之前的声明和安全公告。
该公司表示，旨在“立即开发并发布一个新版本的软件，以解决这些问题”。“我们始终建议客户及时采用我们软件的最新版本，我们在这里强调这一指导，以确保我们的客户立即受益于此次最新发布中的更新。”
即使没有来自 Citrix 的关闭建议，供应商和安全团队也在主动告诉 NetScaler 管理员将其设备下线，引用了一项政府警告，Tenable 的高级员工研究工程师 Satnam Narang 表示，该公司对此问题发布了通告。“在这两种情况下，关闭的讨论都发生了——只是来自不同的地方，”Narang 说。
对于供应商或客户来说都没有简单的决定
如果另一个周末带来了相同的决定，目前仍没有明确的答案来确定正确的策略，GreyNoise 的对手运营高级副总裁 Andrew Thompson 表示。虽然该公司在9月24日首次检测到针对 NetScaler 设备的活动，但 GreyNoise 研究人员最初并未将攻击与特定 CVE 关联。
“如果早期警告来自可信来源，他们应该采取行动，但什么被视为可接受的行动因组织而异，”Thompson 说。
Tenable 的 Narang 指出，关闭系统是有成本的。