plaincve:~$

// 威脅簡報

CVE-2026-88771已遭實際利用

Citrix NetScaler ADC/Gateway 未認證遠端程式碼執行:不需登入就能在設備上執行任意命令

CVSS
9.8 CRITICAL
CISA KEV
2026-09-27
弱點類型
CWE-20
主題
基礎設施

PlainCVE 團隊 · 發布 2026-09-30 · AI 輔助 · 媒體簡報 ↓

AI 審稿 2026-09-30(未經人工)指令測試:未提供漏洞重現:未進行驗證紀錄 ↓

Citrix NetScaler ADC 與 Gateway 輸入驗證不當,未登入的攻擊者可從網路執行任意命令;已遭實際利用,請立即更新。

誰會中自行管理的 NetScaler ADC 與 NetScaler Gateway 設備,版本早於 14.1-73.37、13.1-64.23,以及對應的 FIPS/NDcPP 版本。官方表示預設設定也受影響。
後果攻擊者可在設備上執行任意命令;荷蘭 NCSC 表示攻擊者可藉此直接進入設備後方的內部網路。
現在該做什麼更新前先保全證據(紀錄、快照、support bundle、core dump),因為 watchTowr 轉述 CISA 的建議指出更新可能清掉證據;接著盡快更新到 Citrix 公告的修補版本,研究者指出官方沒有暫時緩解措施。更新後仍要檢查設備是否已被入侵;Sophos 指出,修補可能無法移除在更新前就已入侵的攻擊者。
受影響版本ADC:早於 14.1-73.37、早於 13.1-64.23、早於 14.1-73.37 FIPS、早於 13.1.37.279 FIPS 與 NDcPP;Gateway:早於 14.1-73.37、早於 13.1-64.23(14.1 FIPS 的範圍 NVD 與 Citrix 說法不一)
修好的版本14.1-73.37 以上;13.1-64.23 以上;14.1-73.37 FIPS 以上(Citrix;NVD 的受影響範圍包含此版本);13.1-FIPS/NDcPP 13.1.37.279 以上
CVSS 向量
顯示完整向量CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
時間點
  • 首次公開 2026-09-27
CISA KEV已列入(2026-09-27),代表已有實際攻擊案例

藍隊應對手冊

確認、修補 / 緩解、應變、強化。版本符合受影響條件不等於已被入侵;檢查沒有結果也不等於安全,每一項都有能證明與不能證明的範圍。標記的步驟對應下方攻擊流程裡可以擋下攻擊的那一步。

DETECT確認我受影響嗎?有沒有入侵跡象?
  1. 01確認版本是否在受影響範圍

    對照下方版本表。只適用於自行管理的設備;Citrix 代管的雲端服務由 Cloud Software Group 負責升級(BleepingComputer 報導)。使用 NetScaler 的 Secure Private Access Hybrid 部署也受影響(同一報導)。只修補過先前 CVE-2026-19490 的設備仍然有漏洞(watchTowr)。

    步驟 1
  2. 02在 NetScaler Console 執行 Citrix 的 IoC 檢查

    CISA 表示執行 Citrix 提供的 IoC(入侵跡象)可能有助於找出遭利用的跡象。但據報導 Citrix 自己也說這些 IoC 可能漏掉真正的入侵;Beaumont 指出偵測腳本只在攻擊後紀錄沒被輪替時才有效。查不到不代表沒事。

    步驟 4
MITIGATE修補 / 緩解先修補;還不能修補時先擋住
  1. 01立即更新到修補版本

    Citrix 強烈呼籲受影響客戶盡快安裝更新版本。watchTowr 表示官方沒有發布暫時緩解措施,更新是唯一的修復方法;它也轉述 CISA 的建議:更新前先檢查是否遭入侵並保全鑑識證據(紀錄、快照、support bundle、core dump),因為更新可能清掉證據。

    步驟 1步驟 2步驟 3
  2. 0213.1 升級前先檢查 ns 變數

    watchTowr 表示部分 13.1 升級可能卡在重開機迴圈;若 show ns variable 有回傳任何變數,改用 13.1-64.24。Citrix 未證實此說法。這是在 NetScaler 設備本身的 CLI(不是 Linux 的 bash/zsh)執行的指令;PlainCVE 的判斷是 show 類指令只顯示設定、屬唯讀查詢,不會修改設備。

    唯讀查詢
    show ns variable
RESPOND應變發現入侵跡象時
  1. 01修補後仍要當作可能已遭入侵處理

    Sophos 指出,修補前已被入侵的設備,單靠套用更新可能無法移除攻擊者。

    步驟 4步驟 5
  2. 02依 Citrix 的入侵應變步驟處理

    Citrix 公布懷疑遭入侵時的步驟:保全證據、隔離、撤銷憑證、調查相連系統、重建、輪替機密、強化設定。

    步驟 4步驟 5
HARDEN強化長期避免同類問題
  1. 01不要以為上一次緊急修補就夠了

    watchTowr 指出只修補 CVE-2026-19490 的設備仍然受影響。PlainCVE 建議每次公告都重新對照實際執行的建置版本。

    步驟 1
  2. 02保留足夠長的紀錄

    Beaumont 指出紀錄輪替後 Citrix 的偵測腳本就查不到。PlainCVE 建議把設備紀錄另外保存,以便事後調查。

    步驟 4
完整修復步驟與說明
  1. 先確認版本。 對照上方表格找出對應的修補版本。
  2. 升級前先保全證據。 watchTowr 轉述 CISA 的建議:更新前先檢查是否遭入侵並保全鑑識證據,每台暴露在外的設備都先擷取紀錄、快照、support bundle 與 core dump,因為更新可能清掉證據。Citrix CTX694799 的應變步驟第一步也是保全證據;荷蘭 NCSC(Help Net Security 報導)建議修補前備份設備記憶體與至少一個月的紀錄。
  3. 盡快升級。 Citrix 強烈呼籲受影響客戶盡快安裝修補版本。
  4. 13.1 的升級注意事項(watchTowr,Citrix 未證實): 升級前先在 NetScaler 設備的 CLI 執行 show ns variable(唯讀查詢,PlainCVE 的判斷);若有回傳任何變數,改用 13.1-64.24,以避免升級過程卡在重開機迴圈。
  5. 沒有暫時緩解措施。 watchTowr 表示 Citrix 未發布任何 workaround;我們手上的 Citrix 公告也沒有列出,但沒有明確說「沒有」。
  6. 升級後調查不能停。 Sophos 指出,修補前已被入侵的設備,單靠更新可能無法移除攻擊者。IoC 檢查有已知限制(可能漏判;紀錄輪替後查不到),所以查不到不能當成沒被入侵的證明。若在 9 月期間設備暴露在網路上,PlainCVE 建議直接依 Citrix CTX694799 的入侵應變步驟評估。

攻擊流程

從左到右是攻擊發生的順序。藍色盾牌代表這一步可以被擋下,越早擋下越好。點圖示可看細節。

由上到下是攻擊發生的順序。藍色盾牌代表這一步可以被擋下,越早擋下越好。點圖示可看細節。

Citrix NetScaler ADC/Gateway 未認證遠端程式碼執行:不需登入就能在設備上執行任意命令: 1. 從網路對設備送出未登入的請求 → 2. 設備沒有好好檢查輸入 → 3. 攻擊者的命令在設備上執行 → 4. 植入 webshell 並清除痕跡 → 5. 以設備為跳板進入內部網路CVE-2026-88771 · Citrix NetScaler ADC/Gateway 未認證遠端程式碼執行:不需登入就能在設備上執行任意命令攻擊者你的系統從網路對設備送出未登入的請求 — 不需要帳號、不需要使用者互動。Citrix 表示所有部署都受影響,包括預設設定;但 Citrix 的 CVSS 4.0 向量把攻擊前提標為「存在」,是否需要特定設定未經證實(見 PlainCVE 的判斷)。 1從網路對設備送出未登入的請求設備沒有好好檢查輸入 — Citrix 只說原因是輸入驗證不當(CWE-20),沒有公開是哪個元件、怎麼導致命令執行。 2設備沒有好好檢查輸入攻擊者的命令在設備上執行 — Citrix 確認可執行任意命令。 3攻擊者的命令在設備上執行植入 webshell 並清除痕跡 — Help Net Security 報導零時差攻擊在設備上植入 webshell(可遠端下指令的後門網頁)。研究者 Kevin Beaumont 表示每台設備的 webshell 都不同,攻擊者還執行了反鑑識命令刪除痕跡。 4植入 webshell 並清除痕跡以設備為跳板進入內部網路 — 荷蘭 NCSC 表示這個漏洞讓攻擊者完全控制閘道,並直接進入其後方的企業內部網路。 5以設備為跳板進入內部網路攻擊路徑可在此擋下PlainCVE · plaincve.date/vulns/cve-2026-88771-citrix-netscaler-preauth-rce · CC BY 4.0
Citrix NetScaler ADC/Gateway 未認證遠端程式碼執行:不需登入就能在設備上執行任意命令: 1. 從網路對設備送出未登入的請求 → 2. 設備沒有好好檢查輸入 → 3. 攻擊者的命令在設備上執行 → 4. 植入 webshell 並清除痕跡 → 5. 以設備為跳板進入內部網路CVE-2026-88771 · Citrix NetScalerADC/Gateway 未認證遠端程式碼執行:不需登入就能在設備上執行任意命令從網路對設備送出未登入的請求 — 不需要帳號、不需要使用者互動。Citrix 表示所有部署都受影響,包括預設設定;但 Citrix 的 CVSS 4.0 向量把攻擊前提標為「存在」,是否需要特定設定未經證實(見 PlainCVE 的判斷)。 1攻擊者從網路對設備送出未登入的請求設備沒有好好檢查輸入 — Citrix 只說原因是輸入驗證不當(CWE-20),沒有公開是哪個元件、怎麼導致命令執行。 2你的系統設備沒有好好檢查輸入攻擊者的命令在設備上執行 — Citrix 確認可執行任意命令。 3你的系統攻擊者的命令在設備上執行植入 webshell 並清除痕跡 — Help Net Security 報導零時差攻擊在設備上植入 webshell(可遠端下指令的後門網頁)。研究者 Kevin Beaumont 表示每台設備的 webshell 都不同,攻擊者還執行了反鑑識命令刪除痕跡。 4攻擊者植入 webshell 並清除痕跡以設備為跳板進入內部網路 — 荷蘭 NCSC 表示這個漏洞讓攻擊者完全控制閘道,並直接進入其後方的企業內部網路。 5攻擊者以設備為跳板進入內部網路攻擊路徑可在此擋下PlainCVE · CC BY 4.0plaincve.date/vulns/cve-2026-88771-citrix-netscaler-preauth-rce
圖片可自由用於報導與教學,採 CC BY 4.0,圖上已附出處。
  1. 攻擊者

    從網路對設備送出未登入的請求

    不需要帳號、不需要使用者互動。Citrix 表示所有部署都受影響,包括預設設定;但 Citrix 的 CVSS 4.0 向量把攻擊前提標為「存在」,是否需要特定設定未經證實(見 PlainCVE 的判斷)。

    防禦: 更新到 Citrix 公告的修補版本;研究者指出沒有官方暫時緩解措施。

  2. 你的系統

    設備沒有好好檢查輸入

    Citrix 只說原因是輸入驗證不當(CWE-20),沒有公開是哪個元件、怎麼導致命令執行。

    防禦: 修補版本已修正這個問題。

  3. 你的系統

    攻擊者的命令在設備上執行

    Citrix 確認可執行任意命令。

  4. 攻擊者

    植入 webshell 並清除痕跡

    Help Net Security 報導零時差攻擊在設備上植入 webshell(可遠端下指令的後門網頁)。研究者 Kevin Beaumont 表示每台設備的 webshell 都不同,攻擊者還執行了反鑑識命令刪除痕跡。

    防禦: 在 NetScaler Console 執行 Citrix 提供的 IoC 檢查;注意它可能漏掉,且紀錄若已輪替就查不到。

  5. 攻擊者

    以設備為跳板進入內部網路

    荷蘭 NCSC 表示這個漏洞讓攻擊者完全控制閘道,並直接進入其後方的企業內部網路。

    防禦: 懷疑遭入侵時依 Citrix 的應變步驟:保全證據、隔離、撤銷憑證、調查相連系統、重建、輪替機密、強化設定。

影響範圍

Citrix 表示,所有 NetScaler ADC 與 NetScaler Gateway 部署都受影響,包括預設設定,也不需要另外開啟任何功能。以下版本清單來自 NetScaler CNA(負責編寫這個 CVE 紀錄的單位)寫的 CVE 紀錄與 Citrix 公告:

產品線受影響修補版本
ADC / Gateway 14.1早於 14.1-73.3714.1-73.37 以上
ADC / Gateway 13.1早於 13.1-64.2313.1-64.23 以上
ADC 14.1-FIPSCitrix / CVE 紀錄:早於 14.1-73.37 FIPS;NVD:包含 14.1-73.37 FIPS(見下方說明)Citrix:14.1-73.37 FIPS 以上
ADC 13.1-FIPS 與 13.1-NDcPP早於 13.1.37.27913.1.37.279 以上
Citrix 代管的雲端服務不在公告範圍內由 Cloud Software Group 負責升級(BleepingComputer 報導)

FIPS 與 NDcPP 是符合政府加密與安全認證要求的特殊版本。

  • 來源說法不一: Citrix(廠商)與 CVE 紀錄把 14.1-73.37 FIPS 列為已修補;NVD 的受影響範圍則寫到「包含 14.1-73.37」FIPS。兩邊目前沒有一致,本頁並列兩者。PlainCVE 的建議:保守起見,執行 14.1-73.37 FIPS 的組織可向 Citrix 確認,並一樣做下方的入侵檢查。
  • 版本寫法不一: CVE 紀錄寫「13.1.37.279」,Citrix 公告裡「13.1.37.279」與「13.1-37.279」兩種寫法都有,BleepingComputer、watchTowr 與荷蘭 NCSC 寫「13.1-37.279」。PlainCVE 的判斷是這應該只是格式差異,但未經證實。
  • BleepingComputer 報導,使用 NetScaler 的 Secure Private Access Hybrid 部署也受影響,需要升級。
  • watchTowr 指出,只修補過先前 CVE-2026-19490 的設備仍然有漏洞,除非已經升級到上表的修補版本。

原理

NetScaler 通常直接放在網際網路上,當作員工遠端登入公司網路的入口。Citrix 只說明原因是「輸入驗證不當」(CWE-20):設備沒有好好檢查外部送進來的資料,導致未登入的攻擊者能執行任意命令。攻擊者需要能從網路連到執行受影響版本的設備,不需要帳號,也不需要任何人點擊;是否還需要特定設定目前未經證實(見 PlainCVE 的判斷)。荷蘭 NCSC 表示,攻擊者因此能完全控制閘道,並直接進入後方的內部網路。

Citrix 沒有公開是哪個元件、輸入怎麼變成命令。下面是 PlainCVE 用「輸入沒檢查就交給 shell(作業系統的指令列)」這種常見錯誤(命令注入)做的一般示意,說明輸入驗證不當為什麼可能導致執行命令;它不代表 NetScaler 的實際成因。

有問題的思路(概念示意,不是 Citrix 的原始程式碼):

展開程式碼範例(text)
value = 從請求取得的欄位
run_shell("處理錯誤資訊的指令 " + value)   # 輸入被當成命令的一部分解讀

修好的思路:

展開程式碼範例(text)
value = 從請求取得的欄位
if not 符合預期格式(value): 拒絕
run_program(["處理錯誤資訊的程式", value])  # 以參數傳遞,不經過 shell 解讀

PlainCVE 的判斷: Citrix 的 CVSS 4.0 向量把「攻擊前提」標為「存在」(AT:P),暗示需要某種部署條件;但公告又說所有部署都受影響、不需開啟額外功能。Citrix 沒有說明兩者的關係,是否需要特定設定目前未經證實。

遭利用情況: Citrix 表示已在未修補的設備上觀察到利用;CISA(經 Rapid7 與 Help Net Security 引述)表示攻擊者正在全球利用;Rapid7 表示它在廠商公開前就被當成零時差漏洞利用;watchTowr 表示它在任何修補出現前就已被利用。Help Net Security 報導攻擊會植入 webshell(可遠端下指令的後門網頁);研究者 Kevin Beaumont 說每台設備的 webshell 都不同,攻擊者還執行反鑑識命令刪除痕跡。Tenable 表示,目前還無法確定利用規模是否已擴大。CISA KEV 將「是否用於勒索軟體」標為「未知」。

時間軸

日期事件
2026-09研究者 Kevin Beaumont 稱攻擊已持續整個 9 月(Citrix、CISA 未證實)
2026-09-10CVE 編號保留
2026-09-26watchTowr 公開警告有多個未修補的 NetScaler 遠端程式碼執行漏洞正被利用
2026-09-27CVE 紀錄公開、Citrix 公告釋出;CISA 列入 KEV;Palo Alto Networks 統計 50,277 台可能受影響的暴露設備(含 CVE-2026-88772)
2026-09-30CISA KEV 要求美國聯邦民事機關完成修補的期限

延伸閱讀

  • 評分差異: Citrix(CNA)給 CVSS 4.0 9.5;NVD 另給 CVSS 3.1 9.8(NVD 標為主要評分)。兩者使用不同的 CVSS 版本。頁首的 9.8 與向量採用 NVD 的 CVSS 3.1 評分;Citrix 的 9.5 列在重點數字。
  • CWE 差異: Citrix 列 CWE-20(輸入驗證不當);CISA KEV 列 CWE-119(記憶體緩衝區相關弱點)。KEV 的註記還連到同批漏洞 CVE-2026-88772 的 NVD 頁面;PlainCVE 的判斷是 KEV 條目可能混入了姊妹漏洞的資料,但未經證實。本頁採用 Citrix 的分類。
  • 發現經過: BleepingComputer 報導一份據稱來自荷蘭 NCSC 的預先通知,說 Citrix 是在調查客戶事件時發現這些漏洞;NCSC 拒絕證實,CVE 紀錄則把發現來源標為「未知」。
  • 攻擊者身分: 尚未公開歸因。有研究者推測是資源充足、與國家相關的間諜組織,未經證實。
  • 同批遭利用的漏洞:CVE-2026-88772。

驗證紀錄 AI 依審稿規則逐項核對來源,全部通過;未經人工審稿,也尚未在我們的環境重現

AI 審稿2026-09-30 · 審稿規則

驗證紀錄只寫環境與結果,不公開重現步驟或可攻擊他人系統的程式。詳見 政策.

來源

  1. 安全公告Citrix NetScaler ADC and Citrix NetScaler Gateway Security Bulletin (CTX697096) · Citrix · 查閱 2026-09-29
  2. 安全公告Steps to take if NetScaler ADC is suspected to be compromised (CTX694799) · Citrix · 查閱 2026-09-29
  3. CVE / NVD / OSVCVE-2026-88771 CVE record · CVE Program, 2026-09-27 · 查閱 2026-09-29
  4. CVE / NVD / OSVNVD API - CVE-2026-88771 · NIST · 查閱 2026-09-29
  5. 研究文章Citrix NetScaler ADC / Gateway remote code execution (CVE-2026-88771) · watchTowr · 查閱 2026-09-29
  6. 研究文章Citrix NetScaler zero-day vulnerabilities FAQ · watchTowr · 查閱 2026-09-29
  7. 研究文章Zero-day exploitation of Citrix NetScaler ADC and Gateway (CVE-2026-88771 and CVE-2026-88772) · Rapid7 · 查閱 2026-09-29
  8. 研究文章Citrix NetScaler CVE-2026-88771 / CVE-2026-88772 in active exploitation · Sophos · 查閱 2026-09-29
  9. 研究文章NetScaler zero-days exploited · Palo Alto Networks Unit 42 · 查閱 2026-09-29
  10. 新聞報導Citrix admins warned to shut down NetScalers over 2 exploited zero-days · BleepingComputer · 查閱 2026-09-29
  11. 新聞報導Citrix NetScaler RCE zero-days exploited for weeks · Help Net Security, 2026-09-28 · 查閱 2026-09-29

媒體簡報

一句話

Citrix NetScaler ADC 與 NetScaler Gateway 是許多企業用來提供遠端存取與流量分配的網路設備。CVE-2026-88771 讓未登入的攻擊者能從網路在設備上執行任意命令,Citrix 表示已觀察到實際利用。美國 CISA 在 2026 年 9 月 27 日將它列入已知遭利用漏洞清單。Citrix 已釋出修補版本,並呼籲客戶盡快更新。

關鍵數字

嚴重度(Citrix)
CVSS 4.0 9.5 support.citrix.com
嚴重度(NVD)
CVSS 3.1 9.8 services.nvd.nist.gov
修補版本
14.1-73.37、13.1-64.23 以上(另有 FIPS/NDcPP 版本) support.citrix.com
CVE 公開
2026-09-27 cveawg.mitre.org
可能受影響的暴露設備
50,277 台(Palo Alto Networks,2026-09-27,含 CVE-2026-88772) unit42.paloaltonetworks.com

已確認

  • Citrix 確認未登入的攻擊者可執行任意命令,且預設設定也受影響。
  • Citrix 表示已在未修補的設備上觀察到利用;CISA 已列入已知遭利用漏洞清單。
  • Rapid7 表示它在廠商公開前就被當成零時差漏洞利用;watchTowr 表示它在任何修補出現前就已被利用。

尚未確認 / 說法不一

  • 弱點類別:Citrix 列 CWE-20,CISA KEV 列 CWE-119,兩者不一致。
  • 14.1-73.37 FIPS 是否受影響:Citrix 說已修補,NVD 的範圍卻包含它。
  • 攻擊者身分未公開;研究者推測是資源充足、與國家相關的間諜組織,未經證實。
  • 研究者稱攻擊已持續整個 9 月,Citrix 與 CISA 未證實;利用規模是否擴大也未知。

可引用的一句話

把大門的門禁系統修好,不代表已經溜進屋裡的人會自己離開。

圖片

下載分享圖(PNG) · 攻擊流程圖(可下載)

引用時請標示「PlainCVE」並附上本頁連結。 完整引用格式見下方「如何引用本頁」。有事實錯誤請回報.

如何引用本頁

本文採 CC BY 4.0,轉載請保留署名與連結。

PlainCVE 團隊(2026)。《Citrix NetScaler ADC/Gateway 未認證遠端程式碼執行:不需登入就能在設備上執行任意命令》。PlainCVE。https://plaincve.date/vulns/cve-2026-88771-citrix-netscaler-preauth-rce(查閱日期:YYYY-MM-DD)
BibTeX
@misc{cve202688771citrixnetscalerpreauthrce2026,
  title  = {Citrix NetScaler ADC/Gateway 未認證遠端程式碼執行:不需登入就能在設備上執行任意命令},
  author = {PlainCVE 團隊},
  year   = {2026},
  howpublished = {PlainCVE},
  url    = {https://plaincve.date/vulns/cve-2026-88771-citrix-netscaler-preauth-rce},
  note   = {更新於 2026-09-30}
}