9 月 27 日，CISA 把 Citrix NetScaler ADC / Gateway 的两个 Critical 零日列进了 KEV 目录：CVE-2026-88771 和 CVE-2026-88772，各自都能独立远程代码执行，而且 CISA 明确说全球范围的威胁行为者已经在主动利用。公告 10 月里又更新了两轮，加的料不小：CVE-2026-88779（10 月 4 日进 KEV）能让配置成 SAML SP 或 IdP 的 NetScaler 独立拒绝服务，更阴的是，未打补丁时它还能强制重启设备——把此前通过 88771 注进去的代码"扶正"；同批 88771 到 88778 一字排开，10 月 9 日又补进 CVE-2026-107406。
对运维来说，这轮最值得抄下来的是 CISA 那句顺序提醒：打补丁之前，先查失陷痕迹。理由很实际——升级本身会降低取证可见性，一重启、一升级，日志和内存里的证据可能就没了；NetScaler 本地日志轮转又快，稍微一拖就被覆盖。所以正确姿势是：先把日志转发到 SIEM 或集中日志留存，把证据保住，再升级；确认或高度疑似失陷的，恢复到早于失陷时间的安全备份，并把恢复出来的密钥全部轮换一遍——本地账户口令、key encryption key、SSL 证书，一个都别落下。Citrix 已经通过 NetScaler Console 放出了 IOC 和 SIGMA 检测规则，够得着的直接拿来跑。
入口网关被打穿这件事，今年看得太多了：图省事装的 Nginx 面板一晚上爆七个洞（那篇在这），堡垒机自己门没锁、普通账号提走管理员 Access Key（那篇在这）。NetScaler 是企业级版本的同款剧情——它站在所有流量的门口，它中一个 RCE，等于后面所有业务一起中。
自查三步：
- 清点：有没有 NetScaler ADC/Gateway 暴露在公网，版本对照 Citrix 官方公告确认是否在受影响范围；
- 先取证再升级：日志先转出去、IOC 先跑一遍，然后马上补丁；
- 打完别收工：凭据、证书轮换跟上（批量远程工具一条命令全推下去），回头再用 IOC 复核一遍。
几十台入口设备挨个查版本、推补丁，最怕漏。这种活我交给七亿批量远程管理工具批量推，一台不落；升级前后怎么编排检查动作，说明书里有步骤。入口的账，永远要比业务后端多算一层。
评论