发生了什么
2026年9月27日,Citrix发布安全公告 CTX697096,涉及 NetScaler ADC 和 NetScaler Gateway 的8个漏洞(CVE-2026-88771至CVE-2026-88778)。其中 CVE-2026-88771 和 CVE-2026-88772 已作为 零日漏洞 被利用,CISA当天将其加入 KEV 目录。据CISA称,两者均为严重漏洞,各自都能单独导致远程代码执行,且已在"全球范围"确认被利用。
已披露的技术细节
据Threadlinqs援引Google威胁情报小组和Mandiant的分析:
- CVE-2026-88772: NSPPE在处理 DTLS(UDP/443)时存在认证前堆溢出,可导致以root身份执行代码。
- CVE-2026-88771: 日志处理脚本输入验证不当(CWE-20),会把日志中的名称拼接进shell命令。
- 入侵后观察到通过Apache配置实现持久化、WHIPSHOT Web Shell和 SLAPSHOT 隧道工具。
- 利用活动至少从9月初开始(GovInfoSecurity称自8月起)。
两者的 CVSS 4.0评分均为9.5。
修复版本
请升级到 14.1-73.37 或更高版本,或 13.1-64.23 或更高版本。注意: 10月又出现新漏洞(CVE-2026-88779和CVE-2026-107406),需要更新的版本,我们将另文介绍。
现在该做什么
- 清点所有暴露在互联网上的NetScaler并确认版本。
- 由于利用早于补丁,升级后仍需 排查入侵痕迹(Web Shell、新账户、Apache改动)。
- 如有可疑情况,按Citrix指南处理,发现痕迹即按安全事件响应。