Citrix已确认，一个被攻击者利用的Citrix NetScaler零日漏洞（编号为CVE-2026-88771）是正在被积极用于攻击全球组织的两个严重漏洞之一。这两个漏洞的严重性评级均为9.5分（满分10分），属于最高评分之列，允许攻击者在无需有效凭据的情况下远程在受影响系统上执行代码。Citrix已针对这两个问题发布了补丁，美国网络安全和基础设施安全局（CISA）已确认漏洞利用正在全球范围内发生。

NetScaler零日漏洞的实际作用

NetScaler ADC和NetScaler Gateway是广泛使用的企业级设备，部署在网络边缘，负责应用程序交付、负载均衡以及为员工和客户提供远程访问。这一定位使其成为特别有吸引力的目标：一次成功的入侵不仅仅影响一台服务器，还可能为攻击者提供进入其背后整个内部网络的立足点。

在本案例中，这两个漏洞允许远程代码执行，意味着攻击者可以在设备上运行自己的命令，而无需诱骗用户点击链接或打开文件。由于NetScaler设备通常按设计面向互联网（它们本身就是为了管理远程连接而构建的），一个有效的漏洞利用可以从世界任何地方针对任何暴露的、未打补丁的实例发起。9.5的严重性评分既反映了利用的便捷性，也反映了成功攻击可能造成的损害规模——从数据窃取到完整的网络沦陷。

为什么CISA的活跃利用警告现在至关重要

将此次披露与常规补丁通知区分开来的是，攻击已经在进行中这一确认。CISA警告漏洞利用正在全球发生，这表明这不是一个组织可以按自己节奏处理的理论风险。一旦此类漏洞成为公开信息，攻击者就会争相扫描互联网上的未打补丁系统，通常是在披露后的数小时或数天内。

对于运行NetScaler设备的组织来说，这一时间线大幅压缩了通常的补丁管理周期。将此视为排队等待下一个维护窗口的常规更新的IT团队，在此期间正承担着真实风险。CISA的介入通常还意味着该漏洞达到了联邦机构需要加速修复的标准，凸显了安全社区对此披露的重视程度。

反复出现的模式：远程访问设备成为薄弱环节

这并非孤立事件。远程访问和VPN网关设备——正是组织赖以让员工和客户安全连接的工具——在过去几年中反复成为攻击者的首要目标。类似的动态在SonicWall警告客户两个串联的SMA1000零日漏洞正被积极利用时也曾出现，在一个SonicWall SMA 1000零日漏洞被INC勒索软件组织利用了22天才等到修复时也是如此。另一起事件中，一个被称为UTA0533的威胁行为者利用SonicWall SMA设备中的零日漏洞在检测前持续利用了相当长的时间。

共同点很明确：位于网络边缘、处理身份验证和远程连接的设备，为攻击者提供了超乎寻常的投资回报。攻破一个网关，你就可能获得其背后所有内容的访问权限，包括银行、SaaS提供商和其他服务所依赖的用于保护客户数据的系统。

企业和最终用户应如何降低暴露风险

对于管理NetScaler部署的IT管理员来说，当务之急是立即应用Citrix提供的补丁。除打补丁外，组织应审查NetScaler管理界面是否有必要暴露在公共互联网上，并考虑网络分段以限制设备被入侵时的影响范围。监控日志中异常的认证尝试或来自这些设备的意外出站连接，也有助于捕获仅靠补丁无法追溯阻止的漏洞利用尝试。

这对你意味着什么

大多数个人用户不会直接与NetScaler设备交互，但这并不意味着这条新闻与你无关。银行、医疗机构、大学以及无数SaaS平台都依赖这些网关来保护其系统的远程访问安全。如果你有业务往来的组织运行着未打补丁的NetScaler实例，你的账户凭据、财务数据或个人记录可能在没有任何警告信号的情况下被暴露。关注异常账户活动、在提供多因素认证的地方启用它，并对所使用服务的泄露通知保持警惕，这些实用措施无论涉及哪个供应商的基础设施都同样有效。

关键要点

本案例中被利用的Citrix NetScaler零日漏洞提醒我们，那些为保护远程连接而构建的工具，在未打补丁时自身也可能成为最薄弱的环节。运行NetScaler ADC或Gateway的组织应立即应用Citrix的补丁，审计其暴露面，并将CISA的活跃利用警告视为行动号召而非常规公告。个人用户应保持对泄露通知的警惕，并依靠良好的账户卫生习惯作为后备保障，因为你所依赖的服务的安全性，取决于幕后运行的基础设施的强度。