事件概述
Citrix 发布紧急补丁，修复 NetScaler ADC 与 NetScaler Gateway 中的内存越界漏洞 CVE-2026-88779，CVSS 4.0 评分 8.7。厂商表示已观测到定向攻击，美国 CISA 于 10 月 4 日将其列入已知被利用漏洞目录（KEV），要求联邦机构在 10 月 7 日前完成修复并按要求开展取证排查。
值得关注的是，该漏洞 CVE 于 9 月 10 日预留、10 月 4 日正式公开，而欧盟 EUVD 目录与卢森堡 CIRCL 早在 10 月 2 日即标记为已遭利用，意味着攻击活动早于公开披露，防御方几乎没有补丁窗口。
技术细节
该漏洞源于内存缓冲区操作边界限制不当（CWE-119）。攻击者只需发送一个构造请求，无需任何凭证，也无需用户交互，即可触发内存溢出。
CVSS 4.0 向量：AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H
影响面解读：机密性无影响、完整性无影响、可用性高影响
后果：可反复触发，服务持续不可用（非一次性崩溃重启即可恢复）Citrix 官方将其定性为拒绝服务类缺陷，即”夺取开关”而非取得据点；厂商原话为”若该条件被反复触发，服务可能持续处于不可用状态”。需注意，部分第三方分析将其描述为可升级至远程代码执行，与厂商口径不一致，应以 Citrix 官方公告 CTX697174 为准，并按最坏情况做隔离处置。
影响评估
NetScaler 是大量企业的远程接入与单点登录前台，一旦其 SAML 认证面被持续打瘫，将直接阻断 VPN 接入、应用单点登录与运维通道。对于把 NetScaler 作为唯一外部入口的组织，单纯的可用性损失已等同于业务中断。
本次事件与此前同一产品线的两个远程代码执行零日（CVE-2026-88771、CVE-2026-88772）相隔仅一周，说明攻击者对 Citrix 外围设备的持续定向：先取得据点，再打断服务。
修复建议
- 受影响版本：NetScaler ADC / Gateway 14.1 早于 14.1-73.41、13.1 早于 13.1-64.28；ADC FIPS 与 FIPS/NDcPP 同理。
- 升级至 14.1-73.41、13.1-64.28、14.1-73.41 FIPS 或 13.1-37.282（FIPS/NDcPP）。
- 升级前先做取证：补丁可能覆盖痕迹，务必先留存日志与配置快照，核查是否已有入侵迹象。
- 无法立即升级时，限制公网对 SAML 认证端点与管理接口的直接访问，仅放行受信来源。
- 对设备日志与出站连接设置监控，关注异常重启、认证异常与外联行为。
- 将 NetScaler 固件升级纳入固定周期，并对同产品线历史 CVE 做一次性补丁核查。