事件概述
Citrix（Cloud Software Group）于 2026 年 9 月 27 日发布安全公告 CTX697096，一次性修复 NetScaler ADC 与 NetScaler Gateway 的 8 个漏洞，编号自 CVE-2026-88771 至 CVE-2026-88778。其中 CVE-2026-88771 与 CVE-2026-88772 属于未认证远程代码执行（RCE）零日，官方已确认在野利用；美国网络安全和基础设施安全局（CISA）同日将两者列入已知被利用漏洞（KEV）目录。
受影响范围为客户自管的 ADC 与 Gateway 实例。Citrix 说明，14.1 分支低于 14.1-73.37、13.1 分支低于 13.1-64.23 的构建均存在风险。Citrix 托管的云服务由厂商侧升级，Secure Private Access Hybrid 部署仍在受影响范围内。
技术细节
CVE-2026-88771：默认配置即受影响
该漏洞根因为输入校验不当，未认证攻击者可执行任意命令。Citrix 的措辞是全部部署受影响，包括默认配置——无需开启任何可选模块，不存在“没用该功能”的豁免。CVSS v4.0 评分 9.5。
CVE-2026-88772：DTLS 默认开启放大风险面
该问题源于内存缓冲区边界处理不当，可致远程代码执行或拒绝服务。触发条件是启用 DTLS，而它在 VPN 虚拟服务器上默认开启。CVSS v4.0 同样为 9.5。两者均可独立利用。
同批其余漏洞
- CVE-2026-88773，CVSS 9.3：HTTP 请求走私。
- CVE-2026-88774，CVSS 7.0：基于 URL 的 HTTP 表达式使用不当，导致功能策略绕过。
- CVE-2026-88775、CVE-2026-88776、CVE-2026-88777，CVSS 各 8.8：位于网关与 AAA 配置、Oracle 负载均衡虚拟服务器、非 HTTP L7 协议特性，为内存溢出，可引发不可预期行为或拒绝服务。
- CVE-2026-88778，CVSS 8.8：取值可被预测。
截至公告发布，公开渠道尚无可用利用代码，但 CISA 确认漏洞正被全球范围的攻击者积极利用。
影响评估
NetScaler 部署在互联网边界，承担 VPN、ICA 代理、负载均衡与 AAA 认证。设备一旦被攻破，攻击者可接触内网凭据、证书与用户会话，随后横向移动。本轮两个 KEV 漏洞均为未认证利用；88771 对默认配置生效，意味着任何曾暴露于公网的实例都应按“可能已被触碰”处理。
这已是 NetScaler 今年第二轮零日风波，前一轮 SAML 堆溢出的经验是：打补丁只能关门，无法清场。
修复建议
一、升级到修复版本
NetScaler ADC / Gateway：14.1-73.37 及以后
NetScaler ADC / Gateway：13.1-64.23 及以后
NetScaler ADC FIPS：14.1-73.37 及以后
NetScaler ADC FIPS / NDcPP：13.1-37.279 及以后二、按取证优先的顺序处置
- 先取证再升级。CISA 提示更新可能破坏取证可见性，疑似失陷时先留存日志与镜像。
- 轮换设备持有的凭据：LDAP/AD 绑定账号、RADIUS 共享密钥、API 密钥与证书。
- 终止存量 VPN 与 ICA 会话，避免被窃取的会话在补丁后继续可用。
- 通过 NetScaler Console 获取失陷指标，回溯近一周认证日志。
- 无法立即升级的，先把设备从公网摘除并前置网关校验，但不视为等效缓解。