這是一篇針對正在遭積極利用漏洞（已列入 CISA KEV）的快速說明。內容涵蓋發生了什麼、哪些人受影響，以及如何應對，立場為防禦者角度，不提供重現步驟。
- CVE
- CVE-2026-88779（廠商公告 CTX697174）
- 嚴重性
- 廠商：高 / CVSS v4.0 8.7（NVD 尚未完成分析；無 v3.1 分數）
- 類型
- 記憶體缺陷（CWE-119：在記憶體緩衝區範圍之外進行操作）
- 影響
- 廠商分類：阻斷服務（DoS）。研究人員正在調查可能的程式碼執行
- 前提條件
- 不需驗證、不需使用者互動。設備設定為 SAML SP 或 SAML IdP
- 受影響
- NetScaler ADC / NetScaler Gateway 14.1 與 13.1，以及 FIPS/NDcPP 版本，於修補版本之前
- 修補
- 14.1-73.41 / 13.1-64.28 等版本，於 2026 年 10 月 3 日釋出（9 月 27 日的版本未修補此問題）
- 利用情形
- 已列入 CISA KEV（2026 年 10 月 4 日加入，修補期限 10 月 7 日），並標註需要進行鑑識分流
等待的風險有多高？
廠商表示已觀察到針對未緩解之 NetScaler 部署的鎖定式攻擊，可能導致阻斷服務。NetScaler Gateway 被用作 VPN 與遠端存取的入口，因此它一旦停止運作，遠端工作也會跟著中斷。自 9 月以來，此產品已連續出現多個遭利用的缺陷：CVE-2026-19490（驗證繞過），接著是 CVE-2026-88771/88772（程式碼執行）。請假設攻擊者持續針對此產品進行研究。
這是哪一類缺陷？
SAML 是一種透過傳遞另一個系統中登入結果來讓使用者登入的方式。NetScaler 可以扮演接受該結果的一方（SP），也可以扮演發出結果的一方（IdP）。根據廠商公告，開啟 SAML 處理功能的設備存在一個缺陷，可讓操作在記憶體緩衝區範圍之外執行（CWE-119）。本站不說明其利用方式。
廠商將其歸類為阻斷服務，CVSS v4.0 向量則表示「不需驗證，僅影響可用性」。廠商表示，尚未發現對客戶資料完整性的影響。然而，研究人員回報了一些觀察，顯示它可能被用於程式碼執行，而不只是阻斷服務。此點仍在調查中，尚未獲得證實。
廠商的立場（公告與部落格）
- 歸類為由記憶體毀損導致的阻斷服務
- 已觀察到針對未緩解部署的鎖定式攻擊
- 未發現對客戶資料完整性的影響
研究人員的觀察（依報導）
- 有報導指出，即使在已修補的 honeypot 上仍有惡意程式執行
- 這是否透過此缺陷造成程式碼執行，仍在調查中
- CVE-2026-8452 是另一個 SAML 設定缺陷，曾被公布為阻斷服務，後來分析指出可導致程式碼執行
14.1-73.37 之前：88771/88772 與 88779 皆未修補
→ 請更新，並同時檢查是否遭入侵
14.1-73.37（9 月 27 日修補）：88779 未修補
→ 若您使用 SAML，請再次更新
14.1-73.41 或之後（10 月 3 日修補）：不在本公告範圍內
→ 13.1 的對應版本為 13.1-64.28 或之後
哪些設備受影響
| 版本線 | 受影響版本 | 修補版本 |
|---|---|---|
| NetScaler ADC / Gateway 14.1 | 14.1-73.41 之前 | 14.1-73.41 及之後 |
| NetScaler ADC / Gateway 13.1 | 13.1-64.28 之前 | 13.1-64.28 及之後 |
| NetScaler ADC 14.1-FIPS | 14.1-73.41 FIPS 之前 | 14.1-73.41 FIPS 及之後 |
| NetScaler ADC 13.1-FIPS / 13.1-NDcPP | 13.1-37.282 之前 | 13.1-37.282 及之後 |
- 前提條件為 SAML SP 設定（
add authentication samlAction）或 SAML IdP 設定（add authentication samlIdPProfile）。 - 使用 NetScaler 的 Secure Private Access 混合式部署會受影響；客戶需更新這些 NetScaler 執行個體。
- 廠商會更新 Citrix 管理的雲端服務與 Adaptive Authentication。
- 公告僅列出上述受支援的版本線。若您使用的是已終止支援的版本線，請遷移至受支援的版本。
應採取的行動
檢查是否使用 SAML
在 NetScaler 設定中尋找 add authentication samlAction（SAML SP）或 add authentication samlIdPProfile（SAML IdP）。只要有其中一項，該設備即屬受影響範圍。若您有多台設備，請逐一檢查（資安資產清冊檢查表）。
更新至修補版本（第一優先）
升級至您所屬版本線的修補版本或之後（14.1-73.41 / 13.1-64.28 / 14.1-73.41 FIPS / 13.1-37.282）。9 月 27 日版本（14.1-73.37 等）的設備也在範圍內。更新後，請確認實際執行中的版本號。此公告（CTX697174）並未列出額外的更新後步驟，例如結束工作階段。
若無法立即更新，先處理暫時措施
公告未列出任何緩解方法。依據媒體報導，廠商部落格指出，在更新前可暫時使用 NetScaler 的 Global Deny List（一項可封鎖已知攻擊來源流量的功能）。它不能取代更新。
檢查當機與入侵跡象
CISA 要求對此 CVE 進行鑑識分流。首先，請檢查設備在更新前是否曾非預期當機或重新啟動；若有，請聯絡廠商支援。較晚才在 9 月 27 日後取得 88771/88772 修補的設備，應依廠商的疑似入侵處置步驟（CTX694799），並依 JPCERT/CC 公告中列出的項目進行檢查（可疑的網頁伺服器設定變更、不明檔案、可疑的權限變更等）。
此漏洞之前遭利用的缺陷：CVE-2026-88771 / 88772
2026 年 9 月 27 日，廠商揭露了八項漏洞，並確認其中兩項已遭利用。CISA 同日將兩者加入 KEV。
- CVE-2026-88771：輸入驗證不當（CWE-20），可讓未經驗證的攻擊者執行任意指令。依 JPCERT/CC 表示，包括預設在內的所有設定皆受影響
- CVE-2026-88772：記憶體缺陷（CWE-119），可導致程式碼執行或阻斷服務。影響已啟用 DTLS 的設定，而 Gateway VPN 虛擬伺服器預設即為啟用
- 已在 14.1-73.37、13.1-64.23 等版本修補。JPCERT/CC 表示，自 9 月 24 日起在日本觀察到針對 NetScaler 的攻擊嘗試
- JPCERT/CC 引用某威脅情報團隊的報告，描述了 88772 之後的利用後活動，例如植入網頁後門（web shell）以維持存取權
在此之前，9 月 9 日，CVE-2026-19490（Gateway 與 AAA 虛擬伺服器設定中的驗證繞過）也已被加入 KEV。
本站的看法：對於 VPN 設備，即使只是「阻斷服務」，仍應列為最高優先
廠商將此缺陷歸類為阻斷服務，而 EPSS（未來 30 天內遭利用的估計機率）為較低的 0.3%。我們仍認為它應與程式碼執行缺陷享有同等優先順序，理由有三。
第一，NetScaler Gateway 是從外部進入的途徑，因此停擺本身就代價高昂。第二，另一個 SAML 設定缺陷 CVE-2026-8452 曾被公布為阻斷服務，後來分析指出可導致程式碼執行，分類可能改變。第三，此產品在約一個月內已有四個遭利用的缺陷，設備在更新後很快又需要再次更新。
營運 VPN 設備意味著您必須能夠每月多次套用緊急更新。若做不到，問題就變成是否還要保留該設備（VPN 設備防禦）。
資料來源
- Cloud Software Group — CTX697174：CVE-2026-88779 安全公告（2026 年 10 月 3 日發布，美國太平洋時間；前提條件、受影響與修補版本、CVSS v4.0 8.7）
- NVD — CVE-2026-88779（截至 10 月 5 日狀態為「Received」，尚未完成分析；CWE-119）
- CISA KEV — 已知遭利用漏洞目錄（2026 年 10 月 4 日加入，期限 10 月 7 日，需進行鑑識分流）
- JPCERT/CC — CVE-2026-88771、CVE-2026-88772 等之警示（日文；9 月 28 日發布，10 月 2 日更新；截至 10 月 5 日尚無 CVE-2026-88779 的警示）/ CVE-2026-8452 警示（日文）
- IPA — NetScaler ADC 與 NetScaler Gateway 漏洞（CVE-2026-88771、CVE-2026-88772 等）（日文）
- 媒體 — BleepingComputer（廠商部落格的聲明，以及研究人員關於可能程式碼執行的觀察；本文僅採用事實與防禦者層面的檢查項目）
- FIRST — EPSS（2026 年 10 月 4 日為 0.0028）