这是一份针对正被主动利用的漏洞（已列入 CISA KEV）的快速解读。内容涵盖发生了什么、哪些设备受影响以及如何应对，立场为防御方，不包含复现步骤。
- CVE
- CVE-2026-88779（厂商公告 CTX697174）
- 严重程度
- 厂商评级：High / CVSS v4.0 8.7（NVD 尚未完成分析，无 v3.1 评分）
- 类型
- 内存缺陷（CWE-119：在内存缓冲区边界之外进行操作）
- 影响
- 厂商分类：拒绝服务（DoS）。研究人员正在调查可能的代码执行
- 前提条件
- 无需认证，无需用户交互。设备配置为 SAML SP 或 SAML IdP
- 受影响
- NetScaler ADC / NetScaler Gateway 14.1 和 13.1，以及 FIPS/NDcPP 版本，低于修复版本的均受影响
- 修复版本
- 14.1-73.41 / 13.1-64.28 等，于 2026 年 10 月 3 日发布（9 月 27 日的版本不修复该漏洞）
- 利用情况
- 已列入 CISA KEV（2026 年 10 月 4 日添加，修复期限为 10 月 7 日），并被标注需要进行取证分诊
等待的风险有多大？
厂商表示，已在未缓解的 NetScaler 部署上观察到可导致 DoS 的定向攻击。NetScaler Gateway 被用作 VPN 和远程访问入口，因此一旦它宕机，远程工作也随之中断。自 9 月以来，该产品已连续出现多个被利用的缺陷：CVE-2026-19490（认证绕过），随后是 CVE-2026-88771/88772（代码执行）。应假定攻击者在持续针对该产品开展工作。
这是什么类型的缺陷？
SAML 是一种通过传递在另一系统中完成登录的结果来让用户登录的方式。NetScaler 可以充当接受该结果的一方（SP），也可以充当签发该结果的一方（IdP）。根据厂商公告，开启了 SAML 处理功能的设备存在一个缺陷，可使操作越出内存缓冲区的边界（CWE-119）。本站不描述其利用方式。
厂商将其归类为拒绝服务，CVSS v4.0 向量表示“无需认证，仅影响可用性”。厂商表示，尚未发现其对客户数据完整性造成影响。然而，研究人员报告了一些迹象，表明该漏洞可能被用于代码执行，而不仅仅是拒绝服务。这一点仍在调查中，尚未得到证实。
厂商的立场（公告与博客）
- 归类为由内存损坏引起的拒绝服务
- 已观察到针对未缓解部署的定向攻击
- 未发现对客户数据完整性的影响
研究人员的观察（据报道）
- 有报告称，即使在已打补丁的蜜罐上也有恶意程序运行
- 这是否通过该缺陷实现代码执行，仍在调查中
- CVE-2026-8452 是另一个 SAML 配置相关缺陷，当初以拒绝服务发布，后经分析可导致代码执行
14.1-73.37 之前：88771/88772 和 88779 均未修复
→ 请更新，并同时检查是否遭入侵
14.1-73.37（9 月 27 日修复）：88779 未修复
→ 如果你使用 SAML，请再次更新
14.1-73.41 或更高版本（10 月 3 日修复）：不在本公告范围内
→ 在 13.1 上，对应版本为 13.1-64.28 或更高
哪些设备受影响
| 版本线 | 受影响版本 | 修复版本 |
|---|---|---|
| NetScaler ADC / Gateway 14.1 | 14.1-73.41 之前 | 14.1-73.41 及之后 |
| NetScaler ADC / Gateway 13.1 | 13.1-64.28 之前 | 13.1-64.28 及之后 |
| NetScaler ADC 14.1-FIPS | 14.1-73.41 FIPS 之前 | 14.1-73.41 FIPS 及之后 |
| NetScaler ADC 13.1-FIPS / 13.1-NDcPP | 13.1-37.282 之前 | 13.1-37.282 及之后 |
- 前提条件是 SAML SP 配置（
add authentication samlAction）或 SAML IdP 配置（add authentication samlIdPProfile）。 - 使用 NetScaler 的 Secure Private Access 混合部署受影响；客户需更新这些 NetScaler 实例。
- 厂商会更新 Citrix 托管的云服务和 Adaptive Authentication。
- 公告仅列出上述受支持的版本线。如果你运行的是已停止支持的版本线，请迁移到受支持的版本。
应该怎么做
检查是否使用 SAML
在 NetScaler 配置中查找 add authentication samlAction（SAML SP）或 add authentication samlIdPProfile（SAML IdP）。任一项存在，该设备即在影响范围内。如果你有多台设备，请逐一检查（安全资产清单检查表）。
更新至修复版本（第一优先级）
升级到你所在版本线的修复版本或更高版本（14.1-73.41 / 13.1-64.28 / 14.1-73.41 FIPS / 13.1-37.282）。9 月 27 日版本（14.1-73.37 等）的设备也包括在内。更新后，请确认实际运行的版本号。本公告（CTX697174）未列出额外的更新后步骤，例如终止会话。
如果无法立即更新，先采取临时措施
公告未列出任何临时缓解措施。据媒体报道，厂商博客提到可将 NetScaler 的 Global Deny List（一种阻止来自已知攻击源流量的功能）作为更新前的临时措施。它不能替代更新。
检查崩溃和入侵迹象
CISA 要求对该 CVE 进行取证分诊。首先，检查设备在更新前是否发生崩溃或意外重启；如果有，请联系厂商支持。对于 9 月 27 日之后才获得 88771/88772 修复的设备，应依据厂商的疑似入侵处理步骤（CTX694799），以及 JPCERT/CC 公告中列出的检查项（可疑的 Web 服务器配置更改、不明文件、可疑的权限变更等）进行检查。
此前的被利用缺陷：CVE-2026-88771 / 88772
2026 年 9 月 27 日，厂商披露了八个漏洞，并确认其中两个已被利用。CISA 当天将这两个漏洞都加入了 KEV。
- CVE-2026-88771：输入验证不当（CWE-20），可使未认证攻击者运行任意命令。据 JPCERT/CC 称，包括默认配置在内的所有配置均受影响
- CVE-2026-88772：内存缺陷（CWE-119），可导致代码执行或拒绝服务。影响启用了 DTLS 的配置，而 Gateway VPN 虚拟服务器默认启用该功能
- 已在 14.1-73.37、13.1-64.23 等版本中修复。JPCERT/CC 称，自 9 月 24 日起在日本观察到针对 NetScaler 的攻击尝试
- JPCERT/CC 引用的一份威胁情报团队报告描述了 88772 之后的利用后活动，例如植入 Web Shell 以保持访问
在此之前，9 月 9 日，CVE-2026-19490（Gateway 和 AAA 虚拟服务器配置中的认证绕过）也被加入了 KEV。
本站观点：对于 VPN 设备，即使只是“拒绝服务”，也应列为最高优先级
厂商将此缺陷归类为拒绝服务，而 EPSS（未来 30 天内被利用可能性的估计值）为较低的 0.3%。我们仍认为它应与代码执行类缺陷享有同等优先级，理由有三。
第一，NetScaler Gateway 是外部访问的入口，因此服务中断本身代价高昂。第二，CVE-2026-8452 是另一个 SAML 配置相关缺陷，当初以拒绝服务发布，后经分析可导致代码执行——分类可能会发生变化。第三，该产品在大约一个月内出现了四个被利用的缺陷，而设备刚完成更新又需要再次更新。
运营 VPN 设备意味着你需要能够每月多次应用紧急更新。如果做不到，问题就变成是否还应继续使用该设备（VPN 设备防御）。
来源
- Cloud Software Group — CTX697174：CVE-2026-88779 安全公告（发布于 2026 年 10 月 3 日，美国太平洋时间；前提条件、受影响及修复版本，CVSS v4.0 8.7）
- NVD — CVE-2026-88779（截至 10 月 5 日状态为“Received”，尚未分析；CWE-119）
- CISA KEV — 已知被利用漏洞目录（2026 年 10 月 4 日添加，10 月 7 日为期限，需要取证分诊）
- JPCERT/CC — 关于 CVE-2026-88771、CVE-2026-88772 等的警报（日文；9 月 28 日发布，10 月 2 日更新；截至 10 月 5 日尚无关于 CVE-2026-88779 的警报）/ 关于 CVE-2026-8452 的警报（日文）
- IPA — NetScaler ADC 和 NetScaler Gateway 漏洞（CVE-2026-88771、CVE-2026-88772 等）（日文）
- 媒体 — BleepingComputer（厂商博客的说明以及研究人员关于可能代码执行的观察；本文仅采用事实与防御方检查项）
- FIRST — EPSS（2026 年 10 月 4 日为 0.0028）