CISA列两项Citrix NetScaler关键漏洞为在野利用，CVSS达9.5

CISA确认两项Citrix NetScaler漏洞已遭在野利用

美国网络安全与基础设施安全局（CISA）于2026年9月27日发出公告，将CVE-2026-88771及CVE-2026-88772加入其已知在野利用漏洞（KEV）目录，指已接获报告及伙伴情报证实，有威胁行为者正在全球积极利用两项漏洞。

CVE-2026-88771属输入验证不当漏洞，CVSS评分9.5，可让未经认证的攻击者执行任意指令，影响所有NetScaler ADC及NetScaler Gateway部署。CVE-2026-88772则属内存缓冲区操作限制不当漏洞，同样评9.5分，可导致远程代码执行或拒绝服务，但须在启用DTLS设定的装置上才会触发，而该设定在VPN虚拟服务器上为预设开启。

攻击原理：错误日志脚本被用作指令注入通道

安全公司watchTowr Labs于同日在其GitHub分析指出，CVE-2026-88771根源在于一个名为「ns_monuploadd_err.pl」的Perl脚本，该脚本用于处理NetScaler的崩溃或错误记录信息，但构建shell指令时使用了可被攻击者操控的输入内容。

换言之，未经认证的攻击者可通过NetScaler写入日志的数据注入任意shell指令，再经由该指令馈入shell执行，造成指令注入及远程代码执行。攻击者可向「/nf/auth/doAuthentication.do」端点发送预认证请求触发此漏洞。

暴露面广泛，已有攻击尝试但未必成功

据Palo Alto Networks旗下Unit 42统计，截至2026年9月27日，全球公开暴露、可能受两项零日漏洞影响的Citrix NetScaler装置逾50,277台。

威胁情报公司GreyNoise则表示，其感应器侦测到最早一次针对该漏洞的利用尝试发生于9月24日，来源IP为149.104.78[.]141，但该恶意行为者未能成功。GreyNoise指，攻击者尝试在/bin/sh设置setuid及setgid位元以取得root shell，并安装一个以cookie值通讯的密码保护webshell，另尝试将安装的隐藏文件伪装成CSS路径以规避侦测，最后企图终止httpd进程以重启服务器。

CISA设限期要求联邦机构修补

由于存在在野利用，CISA要求联邦文职行政部门（FCEB）机构须于2026年9月30日前完成修补。Citrix亦已通过NetScaler Console提供通用入侵指标（IoC），协助客户判断部署是否已受影响。

CISA指出，更新Citrix NetScaler装置的过程可能复杂并需要停机，因此发出此警示，协助机构评估暴露程度、优先处理缓解措施，并将两项漏洞纳入风险管理活动。