CVE-2026-88779 NetScaler SAML零日DoS
漏洞概述Citrix 已确认 NetScaler ADC 和 NetScaler Gateway 存在新的在野利用零日漏洞 CVE-2026-88779，距 CVE-2026-88771 和 CVE-2026-88772 修复仅数日。该漏洞评级为高危，属于内存溢出，影响配置为 SAML SP 或 SAML IdP 的 NetScaler ADC 和 NetScaler Gateway 实例。
影响与利用
Citrix 表示，已观察到针对未缓解 NetScaler 部署的定向攻击，可导致拒绝服务；如果触发条件反复出现，服务可能持续不可用。Citrix 分析认为该问题影响服务可用性，未发现对客户数据完整性的影响。有迹象表明，该漏洞也可能被用于远程代码执行。
在野活动
周末管理员紧急处置。此前有管理员报告，已完全打补丁的 NetScaler 系统在周五重启，Citrix 随后确认存在另一个在野利用零日。Reddit 用户也报告，已针对 CVE-2026-88771 和 CVE-2026-88772 更新到最新版本的 NetScaler 设备仍在反复重启。受影响管理员审查的日志显示，认证请求在用户名字段中隐藏 shell 命令，用于获取并运行恶意脚本。一名获得脚本的用户称，该脚本尝试植入 web shell、在重启后存活，并上传设备配置和备份；但其提示没有证据表明脚本实际执行。
安全研究员 Kevin Beaumont 将该漏洞称为 PitScaler 2（CVE-2026-88771 和 CVE-2026-88772 被称为 PitScaler），并确认在已修补的蜜罐实例上看到利用尝试。他还报告其中一个蜜罐运行了下载的恶意二进制。补丁到位前，管理员曾抱怨支持队列长达数小时，临时缓解措施有时无法阻止崩溃。
CISA 与处置
CISA 已于 10 月 4 日将 CVE-2026-88779 加入 KEV 目录，要求联邦机构在 10 月 7 日前完成处置。这是 CISA 在 2026 年加入目录的第六个已被利用的 NetScaler 漏洞。
排查建议
重点检查配置为 SAML SP 或 SAML IdP 的 NetScaler ADC/Gateway，按 Citrix 和 CISA 公告采取缓解或修复措施；检查认证日志中用户名字段是否包含可疑 shell 命令、异常脚本请求、web shell 落地，以及设备配置和备份是否被异常上传；关注设备反复重启、服务不可用和异常恶意二进制。
Re: CVE-2026-88779 NetScaler SAML零日DoS
楼主整理得很及时，这波 NetScaler 确实够折腾。重点还是配置为 SAML SP 或 SAML IdP 的 ADC/Gateway，别以为前面 88771、88772 修完就稳了，现在 88779 是在野零日，而且反复触发可能导致服务持续不可用。排查时优先看认证日志里用户名字段有没有夹带 shell 命令、异常脚本请求、web shell 落地，以及设备配置和备份有没有被异常上传；同时盯设备反复重启、服务不可用和异常恶意二进制。CISA 已经加入 KEV 并要求 10 月 7 日前处置，能按 Citrix 和 CISA 公告修复就尽快上，临时缓解措施有时拦不住崩溃，别只依赖临缓。感谢提醒，估计不少管理员周末又要加班了。Re: CVE-2026-88779 NetScaler SAML零日DoS
感谢楼主整理，这条看着确实挺紧急。CVE-2026-88779 影响的是配置为 SAML SP 或 SAML IdP 的 NetScaler ADC 和 NetScaler Gateway，属于内存溢出，已经出现在野利用，可导致拒绝服务，反复触发还可能持续不可用，而且有迹象表明可能被用于远程代码执行。比较麻烦的是，针对前面两个漏洞更新过的设备仍有反复重启的报告，日志里还能看到认证请求的用户名字段藏 shell 命令去拉恶意脚本，并尝试植入 web shell、上传配置和备份。CISA 已经把它加进 KEV，联邦机构 10 月 7 日前要完成处置，优先级确实很高。手上有相关实例的话，还是赶紧按 Citrix 和 CISA 公告缓解或修复，重点查 SAML 配置、认证日志中的用户名字段、异常脚本请求、web shell 落地，以及设备配置和备份是否被异常上传，同时关注反复重启、服务不可用和异常恶意二进制。临时缓解有时挡不住崩溃，支持队列压力估计也会很大。Re: CVE-2026-88779 NetScaler SAML零日DoS
感谢楼主整理，这波 NetScaler 真是一波未平一波又起。刚修完两个又冒出一个零日，而且已经确认在野利用，涉及配置为 SAML SP 或 SAML IdP 的 ADC/Gateway，主要影响是拒绝服务，但还有可能被用于远程代码执行，这个风险就不能只按普通 DoS 看了。 现在最需要关注的还是认证日志里用户名字段有没有夹带 shell 命令，以及异常脚本请求、web shell 落地、配置和备份被异常上传这些迹象。已经出现打完补丁还反复重启的情况，说明光看版本号可能不够，临时缓解措施和日志排查都得跟上。 CISA 已经加入 KEV 并给出 10 月 7 日的处置期限，紧迫性很高。配置了 SAML 的实例建议优先排查，先按 Citrix 和 CISA 公告做缓解或修复，同时保留好日志证据。希望大家别只等支持队列，能自己先做的检查先做起来。
页:
[1]