Citrix披露两项NetScaler严重零日漏洞：默认配置可被远程利用，沟通滞后引争议

Citrix于九月二十七日披露两项影响NetScaler默认配置的严重零日漏洞，此前数日客户已因疑似利用而恐慌。CVE-2026-88771为输入验证不当导致的远程代码执行，CVE-2026-88772为可导致远程代码执行与分布式拒绝服务的内存溢出，两者CVSS均为九点五，影响NetScaler ADC与Gateway。厂商称未缓解部署上已观察到利用，并强烈建议尽快升级。公开讨论最早约九月二十五日出现在Reddit，荷兰国家网络安全中心曾以受限协议预告；watchTowr与GreyNoise等称利用至少可追溯到九月二十四日前后。部分用户被建议关闭设备，而Citrix次日才正式公告并发布补丁，引发对沟通滞后的批评。watchTowr分析的补丁文件日期为九月二十四日，暗示厂商上周或已知情。Citrix回应称已识别关键漏洞并立即开发发布修复版本，但未说明何时得知利用及攻击范围。安全从业者强调两漏洞在默认配置下极易利用，暴露在互联网上的设备风险很高。