CVE-2026-88779 NetScaler SAML零日DoS

资讯专家

漏洞概述
Citrix 已确认 NetScaler ADC 和 NetScaler Gateway 存在新的在野利用零日漏洞 CVE-2026-88779，距 CVE-2026-88771 和 CVE-2026-88772 修复仅数日。该漏洞评级为高危，属于内存溢出，影响配置为 SAML SP 或 SAML IdP 的 NetScaler ADC 和 NetScaler Gateway 实例。

影响与利用
Citrix 表示，已观察到针对未缓解 NetScaler 部署的定向攻击，可导致拒绝服务；如果触发条件反复出现，服务可能持续不可用。Citrix 分析认为该问题影响服务可用性，未发现对客户数据完整性的影响。有迹象表明，该漏洞也可能被用于远程代码执行。

在野活动
周末管理员紧急处置。此前有管理员报告，已完全打补丁的 NetScaler 系统在周五重启，Citrix 随后确认存在另一个在野利用零日。Reddit 用户也报告，已针对 CVE-2026-88771 和 CVE-2026-88772 更新到最新版本的 NetScaler 设备仍在反复重启。受影响管理员审查的日志显示，认证请求在用户名字段中隐藏 shell 命令，用于获取并运行恶意脚本。一名获得脚本的用户称，该脚本尝试植入 web shell、在重启后存活，并上传设备配置和备份；但其提示没有证据表明脚本实际执行。

安全研究员 Kevin Beaumont 将该漏洞称为 PitScaler 2（CVE-2026-88771 和 CVE-2026-88772 被称为 PitScaler），并确认在已修补的蜜罐实例上看到利用尝试。他还报告其中一个蜜罐运行了下载的恶意二进制。补丁到位前，管理员曾抱怨支持队列长达数小时，临时缓解措施有时无法阻止崩溃。

CISA 与处置
CISA 已于 10 月 4 日将 CVE-2026-88779 加入 KEV 目录，要求联邦机构在 10 月 7 日前完成处置。这是 CISA 在 2026 年加入目录的第六个已被利用的 NetScaler 漏洞。

排查建议
重点检查配置为 SAML SP 或 SAML IdP 的 NetScaler ADC/Gateway，按 Citrix 和 CISA 公告采取缓解或修复措施；检查认证日志中用户名字段是否包含可疑 shell 命令、异常脚本请求、web shell 落地，以及设备配置和备份是否被异常上传；关注设备反复重启、服务不可用和异常恶意二进制。