Citrix 确认两个 NetScaler RCE 零日漏洞已在攻击中被利用

Citrix 已确认，两个被追踪为 CVE-2026-88771 和 CVE-2026-88772 的严重 NetScaler 远程代码执行漏洞正在攻击中被利用，并且已发布安全更新修复这些缺陷。

这两个漏洞正是上周末网络安全研究人员、IT 供应商和国家级网络安全机构开始私下提醒组织注意的零日漏洞。

NetScaler 设备是特别有价值的目标，因为组织通常将其部署为面向互联网的边缘设备，为内部企业网络提供远程访问和应用交付服务。

入侵其中一台设备可以让攻击者在受害者网络的边界获得初始立足点，并可能在无需先入侵组织内部端点的情况下提供通往内部系统的路径。

事件的最初迹象出现于 Citrix 管理员开始在 Reddit 上报告，称 IT 供应商和安全团队正在私下联系他们的组织，并建议关闭他们的 NetScaler 设备。

"我们接到了 IT 供应商安全团队的电话，他们无法提供任何细节，但建议我们立即关闭 NetScaler," 一位管理员写道。

其他管理员表示，执法部门、CERT 和国家网络安全机构也就此问题联系了相关组织。

网络安全公司 watchTowr 随后公开发出警告，称在通过 "权威来源" 核实信息后，它正在 "对传言迅速做出反应"——传言称多个未修复的 Citrix NetScaler 远程代码执行漏洞正在野外被利用。

"我们目前正在迅速应对有关多个未修复的 Citrix NetScaler RCE 漏洞在野外流传的传言。虽然细节很少，但信息是可信的," watchTowr 表示。

Citrix 确认存在活跃利用

Citrix 现已发布安全公告 CTX697096，确认了这些漏洞，并为受影响的 NetScaler ADC 和 NetScaler Gateway 设备发布了补丁。

CVE-2026-88771 是一个由输入验证不当引起的远程代码执行漏洞，允许未经身份验证的攻击者执行任意命令，严重性评分为 9.5。

Citrix 表示，该漏洞影响所有 NetScaler ADC 和 NetScaler Gateway 部署，包括使用默认配置的部署，且不需要启用任何额外功能。

CVE-2026-88772 是一个内存溢出漏洞，可导致远程代码执行或拒绝服务状况，严重性评分同样为 9.5。

当在 NetScaler ADC 或 NetScaler Gateway 上启用 DTLS 时，该漏洞可被利用。Citrix 指出，DTLS 在 VPN 虚拟服务器上默认启用。

Citrix 已确认，这两个漏洞均已作为零日漏洞在对 NetScaler 设备的攻击中被利用。

"已观察到在未采取缓解措施的 NetScaler 部署上对 CVE-2026-88771 和 CVE-2026-88772 的利用," Citrix 在安全公告中表示。

Citrix 表示以下版本受影响：

• NetScaler ADC 和 NetScaler Gateway 14.1（14.1-73.37 之前）
• NetScaler ADC 和 NetScaler Gateway 13.1（13.1-64.23 之前）
• NetScaler ADC FIPS 14.1-73.37 FIPS 之前版本
• NetScaler ADC FIPS 和 NDcPP 13.1-37.279 之前版本

使用 NetScaler 实例的 Secure Private Access Hybrid 部署也受影响，必须升级到推荐版本。

Citrix 表示，该公告仅适用于客户自管的 NetScaler ADC 和 NetScaler Gateway 设备。Cloud Software Group 正在升级 Citrix 托管的云服务和 Citrix 托管的 Adaptive Authentication。

该安全公告还修复了另外六个 NetScaler 漏洞，使本次更新修复的漏洞总数达到八个。

NCSC 在公开披露前已向组织发出警告

据报道，在 Citrix 公开披露这些漏洞之前，荷兰国家网络安全中心 (NCSC-NL) 向荷兰的组织发送了一份预通知，警告两个严重的 NetScaler 零日漏洞。

多人在线分享了该通知的副本，其中称该机构从一个欧洲合作 CERT 处收到了关于两个可独立导致远程代码执行的漏洞的信息。

根据该通知，其中一个漏洞允许攻击者将 shellcode 直接置入内存，而关于第二个漏洞的技术细节仍在研究中。

当时尚未分配 CVE 编号，Citrix 也尚未发布安全公告。

该通知称，Citrix 是在调查客户环境中的事件时发现这些漏洞的，并确认了活跃利用。

通知还称，Citrix 在发现攻击后，根据欧盟的《网络弹性法案》提交了一份通知。

NCSC 表示，在全球多家 Citrix 客户处已发现被利用的情况，但不知道攻击是否广泛。

该机构还警告称，一旦 Citrix 发布补丁和更多技术细节，利用尝试可能会增加。

由于 NetScaler 升级可能导致停机，NCSC 表示，发出警告是为了让组织有时间做好准备，在可能的情况下实施防护措施，并在补丁发布后迅速安装。

BleepingComputer 联系了荷兰 NCSC，以确认网上流传的公告是否属实。

该机构拒绝确认该通知，表示无法向其服务对象之外的组织提供更多信息。

"作为国家 CSIRT 以及指定组织的行业 CSIRT，NCSC-NL 全天候监控影响荷兰的相关动态和网络威胁," NCSC-NL 告诉 BleepingComputer。

"我们向组织提供信息和建议，以便其采取适当措施。由于您不属于我们的服务对象，我们目前无法披露更多信息。"

如今 Citrix 已发布修复程序并确认存在利用行为，管理员应尽快将受影响的 NetScaler ADC 和 NetScaler Gateway 设备升级到已修复版本。

无法立即应用更新的组织，应在运维允许的情况下减少互联网暴露，直至完成设备补丁安装。