美國網路安全與基礎設施安全局（CISA）於 2026 年 9 月 28 日發布緊急公告，將兩個影響 Citrix NetScaler ADC 與 NetScaler Gateway 的重大漏洞正式列入「已知被利用漏洞目錄」（Known Exploited Vulnerabilities，簡稱 KEV）。KEV 目錄是 CISA 用來追蹤那些已在真實攻擊中被利用的漏洞清單，一旦漏洞被列入，代表威脅已經從理論風險轉為實際攻擊，聯邦機構必須在期限內完成修補，民間企業也應以此為優先處理依據。CISA 在公告中明確表示，已接獲多項通報與合作夥伴威脅情報，證實攻擊者正在全球範圍內積極利用這兩個漏洞發動入侵，並非單純的學術研究或零星的攻擊嘗試。
這兩個漏洞分別是 CVE-2026-88771 與 CVE-2026-88772，兩者的 CVSS 嚴重性評分皆高達 9.5 分（滿分 10 分），屬於重大等級。CVE-2026-88771 的問題根源在於「不正確的輸入驗證」，攻擊者不需要任何身分認證，就能夠向受影響的設備發送特製請求，進而在系統上執行任意命令。這意味著只要設備暴露在網路上，未經授權的遠端攻擊者就有機會直接取得控制權。CVE-2026-88772 則屬於「記憶體緩衝區操作限制不當」的漏洞，同樣允許未認證的攻擊者觸發遠端程式碼執行，或造成拒絕服務（Denial-of-Service）讓設備癱瘓。值得注意的是，這兩個漏洞的影響範圍並不完全相同：CVE-2026-88771 影響所有 NetScaler ADC 與 NetScaler Gateway 部署，而 CVE-2026-88772 則額外要求設備上必須啟用 DTLS（Datagram Transport Layer Security）設定。DTLS 是一種基於 UDP 的傳輸層安全協定，主要用於保護 VPN 虛擬伺服器的資料傳輸，而這項功能在 VPN 虛擬伺服器上預設就是開啟的，因此實際曝險面仍然相當廣泛。
針對這兩個漏洞，Citrix 已經釋出對應的修補版本。受影響的產品線包括 NetScaler ADC 與 NetScaler Gateway 14.1 版，修復版本為 14.1-73.37 及之後的版本；13.1 版的修復版本為 13.1-64.23 及之後的版本；另外還有針對政府與特殊合規需求設計的 FIPS 版本，14.1-FIPS 的修復版本為 14.1-73.37 FIPS 之後的版本，13.1-FIPS 與 13.1-NDcPP 的修復版本則為 13.1.37.279 之後的版本。CISA 在公告中也坦言，更新 Citrix NetScaler 設備的過程可能相當複雜，甚至需要安排停機時間，因此特別發布這項警報，目的是協助各組織評估自身的曝險程度、排定修補優先順序，並將這兩個漏洞納入既有的風險管理流程。
為了協助客戶判斷設備是否已經遭到入侵，Citrix 也透過 NetScaler Console 提供了通用的入侵指標（Indicators of Compromise，簡稱 IoC）。這些指標可以幫助管理員檢查系統中是否存在可疑的活動跡象，例如異常的連線、未預期的檔案變更或可疑的執行程序。若懷疑設備已經受到危害，Citrix 建議客戶採取一系列應變步驟：首先保留 NetScaler ADC VPX 執行個體的證據，以便後續進行數位鑑識；接著將受影響的設備隔離，避免攻擊者繼續橫向移動；撤銷所有可能已經外洩的憑證與存取權限；調查 NetScaler ADC 曾連接過的所有伺服器與系統，確認是否還有其他受感染的節點；從乾淨的備份重建系統並更新韌體至最新版本；輪換所有本機帳號密碼與金鑰加密金鑰（KEK），若從備份還原，則必須更換所有還原的 SSL 憑證；最後依照最佳實務重新強化設備安全性。
在聯邦政府層級，CISA 已要求聯邦文職行政部門（Federal Civilian Executive Branch，簡稱 FCEB）的機構必須在 2026 年 9 月 30 日前完成修補，時間相當緊迫。這起事件再次凸顯了網路設備安全的脆弱性，尤其是像 NetScaler 這類負責應用程式交付、負載平衡與 VPN 存取的核心基礎設施，一旦遭到入侵，攻擊者不僅能存取內部網路，還可能竊取敏感資料或植入持久性後門。對於企業而言，除了盡快套用官方修補程式，也應同步檢查 NetScaler Console 提供的入侵指標，並重新檢視設備的對外暴露範圍。值得注意的是，CISA 特別提到更新過程可能造成停機，這反映了資安修補與業務連續性之間的現實衝突，組織必須在風險與營運之間取得平衡，但面對已被實際利用的重大漏洞，延遲修補的代價往往遠高於短暫停機的損失。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。