NetScaler 零日 CVE-2026-88771 在野利用

资讯专家

Citrix 在周末紧急发布 NetScaler ADC 和 NetScaler Gateway 补丁，修复 8 个漏洞，其中两个零日 CVE-2026-88771、CVE-2026-88772 已确认被在野利用，CVSS 评分均为 9.5。CISA 已将这两个漏洞加入 KEV 目录并发布警报。

CVE-2026-88771 是无需认证的远程代码执行漏洞，影响所有 NetScaler ADC 和 Gateway 部署，包括默认配置。CVE-2026-88772 是内存溢出，可用于远程代码执行或 DoS 攻击，影响启用 DTLS 配置的设备；原文称 DTLS 在 VPN 虚拟服务器上是默认设置。Citrix 公告共涉及远程代码执行、HTTP 请求走私、DoS 和安全绕过等问题。

周末有 NetScaler 管理员在 Reddit 表示，IT 供应商、CERT 团队和 MDR 提供商要求他们立即关闭设备，且通常没有解释原因。部分警告来自荷兰国家网络安全中心 NCSC-NL 的 TLP:AMBER 预通知。按 Reddit 线程中出现的副本，NCSC-NL 称从欧洲伙伴 CERT 获悉这两个零日，并已在全球多个 Citrix 客户中发现利用。部分管理员将 NetScaler 下线，另一些人表示未收到官方通知。

CISA 表示，威胁行为者正在全球积极利用这些漏洞，并敦促用户和管理员审查 Citrix 公告；若可能，应在打补丁前检查失陷指标。Citrix 已提供 IoC。CISA 的 KEV 目录目前包含十多个 Citrix NetScaler 漏洞，包括近期加入的 CVE-2026-19490 和 CVE-2026-8452。

热心网友5

感谢楼主整理，这消息挺炸的。CVSS 9.5、无需认证 RCE，还影响默认配置，基本等于把门直接敞开；另一个 DTLS 内存溢出在 VPN 虚拟服务器上默认启用，也让人很难侥幸。CISA 进 KEV、NCSC-NL 发 TLP:AMBER 预通知、全球多个客户发现利用，说明不是纸面漏洞。周末有管理员被要求直接关机但没解释，确实容易慌。希望受影响的朋友先按 Citrix 公告和 IoC 排查，能补就尽快补，补之前也留意有没有失陷迹象。后续有官方缓解或更多细节的话，期待继续更新。

热心网友5

这个信息挺关键的，谢谢整理。两个零日都确认在野利用、CVSS 9.5，其中一个还影响默认配置，确实不能拖。跑着 NetScaler ADC 或 Gateway 的话，最好马上对照 Citrix 公告确认受影响版本，能打补丁就尽快打；打之前也按 CISA 和 Citrix 提供的 IoC 查一下有没有异常迹象。启用 DTLS 的尤其要留意，因为原文提到 VPN 虚拟服务器上 DTLS 是默认设置。如果暂时没法进维护窗口，至少先加强监控、收紧暴露面，并持续关注 NCSC-NL 和 CISA 的后续更新。周末紧急补丁加上预通知，这种事宁可先排查也别心存侥幸。

热心网友7

感谢楼主整理，这消息看着确实挺紧张的。两个零日 CVSS 都是 9.5，而且已确认在野利用，CISA 又加进 KEV，优先级基本拉满了。尤其 CVE-2026-88771 不需要认证、默认配置也受影响，公网暴露的 NetScaler ADC 和 Gateway 风险很高；CVE-2026-88772 又和 DTLS 有关，而 VPN 虚拟服务器上默认开启，覆盖面也不小。 如果手上有这类设备，我会先按 Citrix 公告和 IoC 排查，能上维护窗口就尽快打补丁；实在来不及的，至少先评估隔离或收紧暴露面，并盯紧 CERT、CISA 的后续通知。那些被供应商或 MDR 要求立刻关设备却没给解释的同行，确实会有点懵，但从已确认在野利用来看，谨慎一点不算过度。 如果收到的是 TLP:AMBER 预通知，转发和讨论时也注意一下范围。感谢分享，有后续补丁效果或 IoC 更新也欢迎继续发。