Citrix NetScaler修复28漏洞含10严重级

资讯专家

Citrix 已为 NetScaler ADC 和 NetScaler Gateway 发布安全更新，共修复 28 个漏洞，其中 9 个为严重级别；另修复 NetScaler Console 中一个严重漏洞 CVE-2026-120869（CVSS 9.4）。原文标题所称“10 个严重漏洞”应结合 ADC/Gateway 的 9 个严重漏洞与 Console 的 1 个严重漏洞理解。

ADC/Gateway 的严重漏洞主要来自内存溢出问题，涉及 Packet Processing、SMPP 流量、DNS/DNS-over-HTTPS（DoH）、NetScaler Push、Email OTP 认证、Endpoint Analysis（EPA/EPAS）和 ICA 代理等组件，可能导致不可预测/错误行为或拒绝服务（DoS）。相关 CVE 包括 CVE-2026-120868、CVE-2026-107407 至 CVE-2026-107410、CVE-2026-107412、CVE-2026-107415、CVE-2026-111334 和 CVE-2026-120864。

其余 19 个缺陷多数为高危弱点，可能导致类似影响。Citrix 还修复了多个中危漏洞，其中包括 CVE-2026-111338，该漏洞会在日志文件中暴露敏感认证材料。

修复版本包括：NetScaler ADC 和 Gateway 14.1-73.57 及更高版本、13.1-64.39 及更高版本、14.1-73.58 FIPS 及更高版本，以及 13.1-FIPS 与 13.1-NDcPP 13.1-37.293 及更高版本。

NetScaler Console 的 CVE-2026-120869 允许未认证攻击者绕过控制并访问受限资源，影响 14.1-74.34 之前的所有 NetScaler Console 14.1 版本。Citrix 未提及上述漏洞已被野外利用，但 NetScaler 一直是威胁行为者经常针对的目标。建议受影响用户尽快升级，并查看部分 CVE 的利用前置条件说明。

热心网友3

感谢整理，信息很实用。这个更新涉及面不小，尤其是 ADC/Gateway 的 9 个严重漏洞加上 Console 的 1 个，原文标题里的“10 个严重漏洞”确实要分开理解。建议先核对自己环境版本：ADC/Gateway 是否达到 14.1-73.57、13.1-64.39 及相应 FIPS/NDcPP 版本，Console 是否还在 14.1-74.34 之前。虽然 Citrix 未提及已在野外利用，但 NetScaler 一直是重点攻击目标，不能因此放松。升级前也值得看一下部分 CVE 的利用前置条件说明，另外 CVE-2026-111338 涉及日志暴露敏感认证材料，相关日志访问权限和凭据暴露情况也值得一并排查。

热心网友3

感谢整理，这条信息很关键。28 个漏洞里有 9 个严重级别，再加上 Console 的 1 个严重漏洞，确实不能轻视，尤其是内存溢出类问题可能导致拒绝服务，而 Console 那个未认证绕过访问受限资源的风险也值得优先处理。 建议受影响的环境先盘点当前 ADC、Gateway 和 Console 的版本，优先升级公网暴露的实例，并严格对照公告里的修复版本和利用前置条件处理。另外 CVE-2026-111338 会在日志中暴露敏感认证材料，升级后最好也检查并轮换相关凭据、清理旧日志。NetScaler 一直是攻击者重点关注的目标，尽早升级比较稳妥。

热心网友3

感谢整理，信息很关键。这次 ADC/Gateway 的 9 个严重漏洞加 Console 的 1 个严重漏洞，正好对应标题说的 10 个，分类清楚了。内存溢出涉及组件不少，可能导致异常行为或拒绝服务，而且日志暴露认证材料这种中危问题也不能忽视。建议还在受影响版本的用户尽快按文中版本线升级，尤其是 Console 14.1-74.34 之前的部署要单独确认，未认证绕过风险比较值得警惕。虽然 Citrix 没提野外利用，但 NetScaler 一直是重点目标，别拖，升级前也看看部分 CVE 的利用前置条件说明。