新的Citrix NetScaler零日漏洞迅速从发现转向了积极利用。CVE-2026-88779影响使用SAML身份验证的NetScaler ADC和NetScaler Gateway部署，可能导致设备崩溃或不可用。该漏洞的CVSS v4评分为8.7（高），Citrix已确认针对未缓解部署的针对性攻击。CISA也已将其添加到已知被利用漏洞（KEV）目录中。
执行摘要
CVE-2026-88779是一个内存溢出漏洞，可能导致服务拒绝。该漏洞并非在每个NetScaler部署中都存在。设备必须配置为：
- SAML服务提供商（SP）
- SAML身份提供商（IdP）
管理员可以检查：
- add authentication samlAction
- or add authentication samlIdPProfile
Citrix表示，该问题影响服务可用性，并未发现对客户数据完整性的影响。
积极利用
这使得该漏洞特别重要。Citrix已确认针对未缓解的NetScaler部署的针对性攻击。如果脆弱条件被反复触发，服务可能会保持不可用。该活动在组织修补早期NetScaler零日漏洞后不久被观察到。管理员报告称，已经更新的设备出现了意外重启，促使进一步调查并发现了CVE-2026-88779。
安全研究人员，包括watchTowr和Bishop Fox，被Citrix认可为报告该漏洞的人员。watchTowr报告称，在观察到针对NetScaler蜜罐的活动后，能够重现该缺陷。
确认的影响与调查
确认的供应商影响是服务拒绝。然而，研究人员观察到的活动引发了关于该漏洞是否可能被滥用以实现超出服务中断的更多问题。已经有报告显示涉及NetScaler设备的可疑身份验证请求和恶意活动。研究人员正在调查代码执行的可能性。
Citrix尚未确认CVE-2026-88779的影响为远程代码执行。因此，更准确地说，这是一种被积极利用的NetScaler SAML零日漏洞，确认了DoS影响，而不是称其为RCE漏洞。
受影响版本
受影响的受支持版本为：
- 14.1版本在14.1-73.41之前
- 13.1版本在13.1-64.28之前
- 14.1 FIPS在14.1-73.41 FIPS之前
- 13.1 FIPS/NDcPP在13.1-37.282之前
使用受影响NetScaler实例的安全私有访问混合部署也受到影响。
补丁可用
Citrix已发布修复：
- 14.1：14.1-73.41或更高版本
- 13.1：13.1-64.28或更高版本
- 14.1 FIPS：14.1-73.41 FIPS或更高版本
- 13.1 FIPS/NDcPP：13.1-37.282或更高版本
对于已经修补先前NetScaler零日漏洞的组织，一个重要的点是：九月份的修复不足以应对CVE-2026-88779。启用SAML的部署需要更新的十月份版本。
安全团队应采取的措施
运行NetScaler的组织应：
- 确定所有面向互联网的NetScaler ADC和Gateway设备。
- 检查是否启用了SAML SP或IdP功能。
- 立即升级到最新的修复版本。
- 审查日志以查找意外崩溃、重启和异常的SAML身份验证请求。
- 在假设仅通过修补解决事件之前，调查可疑活动。
- 如果怀疑存在安全漏洞，请保留相关日志和取证证据。
Citrix还为某些部署提供全球拒绝列表保护，但这些应被视为临时控制措施，而不是替代修补。
为什么这很重要
CVE-2026-88779再次提醒我们，仅凭CVSS不应决定漏洞的优先级。影响内部系统的8.7漏洞与影响已经被利用的面向互联网的身份验证网关的8.7漏洞截然不同。这里的风险来自于组合：
- 互联网暴露 + SAML身份验证 + 积极利用 + 可用补丁
还有一个更广泛的担忧：CVE-2026-88779跟随最近被利用的CVE-2026-88771和CVE-2026-88772 NetScaler漏洞。因此，最近修补了其设备的组织应重新验证其当前版本和配置，而不是假设之前的修复涵盖了此问题。
最终要点
CVE-2026-88779应被视为运行启用SAML的NetScaler ADC或Gateway的组织的紧急修复优先事项。确认的影响是服务拒绝，但积极利用和持续的研究人员调查使其不仅仅是常规的修补工作。
识别。修补。调查。
不要等待下一个维护周期。