刚升完级又被打崩：NetScaler SAML 内存溢出零日，专打已修补设备（CVE-2026-88779）

赤霄攻防实验室
赤霄攻防实验室

赤霄攻防实验室

2026年10月9日 17:10
河北

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

TL;DR 四行速览

· 是什么：Citrix NetScaler ADC / Gateway 的 SAML 认证组件存在内存溢出漏洞（CWE-119），官方定性为可致拒绝服务，KEV 已确认在野利用。
· 影响面：所有配置为 SAML SP 或 SAML IdP 的自管 NetScaler（14.1-73.41 / 13.1-64.28 之前），云托管版不受影响；这不是默认配置就中招，但 SAML 恰恰是这类设备的主流用法。
· 怎么修：升级到 14.1-73.41 或 13.1-64.28（FIPS 分支各有对应版本）；上周为修 PitScaler 刚升级过的设备要再升一次。联邦机构死线 10 月 7 日。
· 看点：攻击者专打「已升级到最新版」的设备——管理员的补救动作反而成了被打的信号；Beaumont 的补丁蜜罐被打崩且疑似跑起了恶意样本，RCE 疑云未散。

▲ 漏洞概要信息卡：CVE-2026-88779 一图速览

一周第二条：NetScaler 为什么要再升一次级

10 月 3 日（太平洋时间），Citrix 发布安全通告 CTX697174，披露 NetScaler ADC 与 NetScaler Gateway 的一个内存溢出漏洞 CVE-2026-88779，CVSS v4.0 评分 8.7（高危），归为 CWE-119「内存缓冲区边界内的操作限制不当」。通告同时确认：Citrix 已观察到针对未缓解 NetScaler 部署的定向攻击，可导致拒绝服务；反复触发该条件，服务可能持续不可用。厂商的措辞很克制——「影响的是可用性，未发现对客户数据完整性的影响」——但在 KEV 目录里，它已经是 2026 年内第 6 条 NetScaler 在野利用漏洞。

最扎心的细节是时间线：9 月底 PitScaler 系列（CVE-2026-88771/88772，两条 9.8 分 RCE 零日）刚把全球 NetScaler 管理员折腾了一圈，大量设备在最近一周才升级到当时的最新版 14.1-73.37。而这次 88779 的在野攻击，最早就是从「刚打完补丁的设备莫名重启」被发现的。Citrix 在通告里说得很直白：如果你已经为 88771~88778 升过级，且满足 SAML 前提条件，请再升级一次。

▲ Citrix 官方安全通告 CTX697174：影响版本、前提条件与修复版本一表看清

漏洞本体：SAML 认证通道里的内存溢出

先看官方给的技术定性。这是一个发生在 SAML 认证处理路径上的内存溢出：当 NetScaler 被配置为 SAML 服务提供方（SP）或身份提供方（IdP）时，处理畸形 SAML 认证请求的代码存在缓冲区边界检查缺陷（CWE-119 是个「容器类」弱点分类，具体溢出类型厂商未披露），攻击者无需认证、无需用户交互，从网络侧即可触发。CVSS v4.0 向量里 AV:N（网络）/PR:N（无需权限）/UI:N（无需交互）三项全绿，唯一庆幸的是 VC/VI（机密性/完整性）均为 N，只有可用性 VA:H 打满。

但要特别注意「前提条件」这一栏：设备必须配置了 SAML 认证才受影响。Citrix 给出的自查方法非常具体——在配置里搜两条命令：配置为 SAML SP 的设备会有 add authentication samlAction，配置为 SAML IdP 的会有 add authentication samlIdPProfile。没配 SAML 的纯负载均衡场景不在影响范围内。问题在于，NetScaler Gateway 的核心用法就是接企业 IdP 做统一认证，SAML 恰恰是主流配置而非例外——这意味着「前提条件」在真实环境里的过滤效果相当有限。

▲ 攻击链与证据链：从外网 SAML 端点到整机重启的完整路径

nsaaad 与 Pitboss：两个关键词看懂崩溃机制

社区取证报告把这个漏洞的「体感」描述得很清楚。受影响设备上，最先出问题的是 nsaaad——NetScaler 的 AAA 认证守护进程，SAML 处理正是它的工作之一。攻击请求到达后，nsaaad 因内存溢出崩溃退出（有管理员在日志里捕获到退出状态 0x8a），NetScaler 的进程监管体系随即反复拉起它；崩溃速度超过拉起速度，重启次数撞上限之后，监管者 Pitboss 会宣告「系统失败」，触发整机重启。对攻击者来说，这构成一个可以远程反复驱动的「重启按钮」：保持喷射请求，设备就保持在「崩溃-重启-再崩溃」的循环里，VPN 和负载均衡业务整体瘫痪。

更值得警惕的是 RCE 疑云。安全研究员 Kevin Beaumont（他给这个漏洞起了绰号「PitScaler 2」）的报告超出「宕机」范畴：他专门部署的蜜罐运行的是 13.1 和 14.1 的已修补版本，照样被打崩；10 月 2 日他进一步报告，其中一台蜜罐上发现一个被下载并在运行的恶意二进制——两台蜜罐都打过补丁，「被喷射式盲打（sprayed and prayed），其中一台连 SSL 证书都是过期的」。他同时指出一个历史参照：CVE-2025-6543 当初也被 Citrix 先定性为「拒绝服务」，后来被证实可以稳定 RCE 并被用于入侵荷兰的组织。另一家安全公司 watchTowr 在 10 月 3 日确认已复现该漏洞。Citrix 目前坚持 DoS 定性，未确认 RCE——这个分歧本身，就是防守方应该按最坏情况做预算的理由。

▲ NVD 详情页：CVE-2026-88779 已标注入 CISA KEV 目录，联邦机构修复死线 10 月 7 日

取证要点：日志里的三条线索

如果你管理 NetScaler，升级之外最该做的是翻日志。社区整理出的取证线索有三条（均来自真实事件响应，用于排查而非攻击）：其一，在 /var/log/ns.log 里检索 nsaaad 进程的 SIGNALED/EXITED 记录、maximum number of restarts 与 Pitboss declaring system failure、All monitored processes have exited, rebooting 这几个特征串，确认是否发生过崩溃重启循环；其二，检索已知攻击基础设施 IP（如 213.209.159.55，以及社区报告的 f.pylrk.cc、\*.pyrlnk.cc 等下载源域名）；其三，关注认证用户名字段里的异常内容——有管理员在 nsaaad 三次崩溃前捕获到认证请求的用户名字段被塞入 shell 命令，试图从上述 IP 下载载荷保存为 /v（或 /tmp/v、/var/tmp/v）并执行。需要说明：用户名字段出现命令串只能证明攻击企图，是否真被执行需结合设备上的文件与外连记录判断。

另一个容易被忽略的取证盲区：NetScaler 默认不记录 User-Agent。这意味着「请求从哪来、带了什么工具特征」这类信息可能已经随日志窗口滚没了，只靠设备本地日志做「没被入侵」的结论并不牢靠，建议把 NetScaler 前置的 WAF / 反向代理日志一起纳入排查范围。

▲ 事件演进：从 9 月底 PitScaler 到 10 月初 PitScaler 2，四天走完「报警-补丁-KEV」全程

防守清单：现在该做什么

第一步·查前提（5 分钟）：ns.conf 里搜 samlAction 与 samlIdPProfile，命中即受影响面。同时确认版本：14.1 需 ≥14.1-73.41，13.1 需 ≥13.1-64.28，FIPS 分支分别对应 14.1-73.41 FIPS 与 13.1-37.282。用了 Secure Private Access 混合部署的，其 NetScaler 实例同样要升。第二步·升级（优先级最高）：官方明确建议直接升级而非只挂缓解；Global Deny List 特征可作为升级窗口期的过渡缓解（14.1-60.52 / 13.1-63.21 起默认开启，老版本需确认）。第三步·升级前取证：按上面的三条日志线索过一遍，确认没有崩溃循环与可疑外连再动手——升级会覆盖部分现场，先保全再修复。第四步·收尾：升级后观察 nsaaad 稳定性；对公网暴露的 SAML 端点，把「认证失败率与 nsaaad 重启告警」加进监控项。

参考链接

· Citrix 安全通告 CTX697174：https://support.citrix.com/external/article/CTX697174/citrix-netscaler-adc-and-citrix-netscale.html
· Citrix 官方解读博客：https://community.citrix.com/techzone-blogs/110\_security-updates/understanding-and-addressing-cve-2026-88779-in-citrix-netscaler-adc-and-citrix-netscaler-gateway
· NVD：https://nvd.nist.gov/vuln/detail/CVE-2026-88779
· CISA KEV 收录公告：https://www.cisa.gov/news-events/alerts/2026/10/04/cisa-adds-one-known-exploited-vulnerability-catalog
· SecurityWeek 报道：https://www.securityweek.com/exploitation-of-citrix-netscaler-zero-day-hits-appliances-patched-days-earlier/
· BleepingComputer 报道：https://www.bleepingcomputer.com/news/security/citrix-patches-netscaler-saml-zero-day-exploited-in-attacks/

声明：本文仅用于防御性安全研究与授权测试参考，严禁用于未授权攻击。涉及的真实事件信息均来自公开报道与官方通告。