Citrix NetScaler零日RCE与KEV应急补

资讯专家

2026年9月，Citrix NetScaler ADC 与 Gateway 的一批零日漏洞被未识别威胁行为者积极利用。荷兰政府威胁分析人员和私营部门应急响应人员先发现异常攻击流量。9月26日周末，经销商和安全公告建议管理员限制或断开面向边缘的部署；到周日，Citrix 发布针对未认证远程代码执行漏洞的补丁，CVE 编号从 CVE-2026-88771 至 CVE-2026-88778。

NetScaler 长期是边缘整合平台，集反向代理、负载均衡、WAF、传统防火墙和 SSL VPN 于一体。攻击者一旦在边缘设备取得 root 权限，就可能控制本地网络与外部通信，因此这类面向互联网的高价值设备持续成为重点目标。

文章认为，这次周末应急响应并非边缘防御失灵，而是现代主动防御在高压场景下的表现。全球遥测与监测能力提升，使未公开零日被更快发现，利用窗口和零日行动周期缩短；过去国家级行动可在边缘设备潜伏数周或数月，如今公网利用往往数天内被标记。厂商协调也在加速：Citrix 在2024至2025年平均近40天完成从发现到CVE披露，2026年NetScaler产品线在设立专门CNA后降至17天。

CISA KEV 的周日紧急新增同样值得注意。文章称此前KEV仅有2025年Microsoft SharePoint一次周日新增记录，这两个NetScaler问题可能意味着周末和假日的KEV新增会更常见。对NetScaler运营者而言，CVE-2026-88779至CVE-2026-88787目前存在编号发布空缺，后续可能出现补充公告。

处置建议保持补丁管理流程待命，准备下一轮Citrix补丁的应急演练；持续清理资产清单，准确掌握面向互联网的NetScaler实例；保持监测和快速协调能力。攻击者仍会集中攻击整合型边缘设备，但检测、协调、修补和资产追踪能力比过去更强。