先說結論：管理 Citrix NetScaler ADC 或 NetScaler Gateway 的團隊，應立即核對設備實際版本、是否承擔 SAML 身分服務，以及是否已升到 Citrix 針對 CVE-2026-107406 指定的新版。SAML 是讓不同系統交換登入身分資訊的標準；設備可能作為提供身分的 IdP，也可能作為接受登入結果的 SP。Citrix 於 2026 年 10 月 8 日公告，特定版本與角色組合存在記憶體溢位弱點，可能造成遠端程式碼執行或拒絕服務。加拿大網路安全中心 10 月 9 日更新警示，明確提醒先前針對其他漏洞的補丁不足以處理這個新編號。本文在台北時間 10 月 10 日重新查核兩機構官方公告；目前不能從公告推論任何特定讀者的設備已遭入侵。
背景與前因：NetScaler ADC 負責分配或保護應用流量，NetScaler Gateway 常被部署為遠端存取入口；它們若同時處理 SAML 登入，版本與身分角色就會共同決定這次的適用範圍。9 月底以來，Citrix 已處理多個不同編號的 NetScaler 弱點，10 月初亦曾針對 SAML 設定提出安全指引。CVE-2026-107406 是 10 月 8 日原廠另行公告的新漏洞，不能因為設備已套用前一輪修補就判定安全，也不能把前一輪漏洞的攻擊證據直接歸給這個編號。加拿大網安中心在 10 月 9 日更新的警示，把新問題和先前漏洞分開，並要求受影響組織再次升級。
原因與前置條件：Citrix 把 CVE-2026-107406 描述為記憶體溢位，並給予 CVSS 第四版基礎分數 9.5。記憶體溢位是程式處理資料時超出預期邊界，可能使服務故障，也可能在特定條件下讓未授權程式碼執行。原廠列出遠端程式碼執行與拒絕服務兩種可能後果；這是漏洞可造成的結果，不是說每台受影響設備都已發生任一結果。此次需要先確定是否啟用 SAML SP 或 IdP，再比對版本區間；只看產品名稱或分數，會把沒有相應設定的設備與真正符合條件的設備混在一起。本文不提供觸發缺陷的方法、測試資料或可操作的攻擊步驟。
版本判讀有兩層。依 Citrix 10 月 8 日公告，對 14.1-73.37 至 14.1-73.41、13.1-64.23 至 13.1-64.28 這兩段中間版本，須在設備設定為 SAML IdP 時，才符合公告對這個漏洞列出的角色條件；對應的 FIPS 或 NDcPP 支線也有各自中間區間。FIPS 與 NDcPP 是特定安全驗證配置，不應拿一般版的版號直接替代比對。至於早於 14.1-73.37 或 13.1-64.23 的一般版，以及原廠列出的更早 FIPS 支線，SAML SP 或 IdP 任一角色都可能符合前置條件。因此，『已經升到 14.1-73.37』或『目前只是 SP』都不能脫離版本區間單獨作安全結論。
影響範圍：原廠公告涵蓋客戶自行管理的 NetScaler ADC 與 NetScaler Gateway，也特別指出採 Secure Private Access Hybrid、使用 NetScaler 實例的環境需要升級相關設備。Citrix 管理的雲端服務與其管理的 Adaptive Authentication 由廠商負責軟體更新，這不等於所有使用 Citrix 服務的自管實例都已自動修正。組織應從資產台帳找出實際承擔登入與遠端入口的實例，包括備援節點、測試環境及混合部署，再依各節點實際執行版號與 SAML 角色逐一判斷。僅有『使用 Citrix』的採購紀錄不足以判定此 CVE 是否適用；反過來，沒有直接暴露在網際網路，也不等於可略過內部身分流向與修補盤點。
Citrix 列出的修補目標為一般版 14.1-73.46 及其後版本、13.1-64.29 及 13.1 支線後續版本；14.1-FIPS 為 14.1-73.46 FIPS 及其後版本，13.1-FIPS 與 13.1-NDcPP 則為 13.1-37.283 及其後適用版本。升級目標必須與設備原本支線、授權及驗證配置對應，維運者應以原廠公告和供應商支援建議核實具體套件。特別要防止把上一輪更新所得到的中間版當成此次最終修正：部分中間版雖改變了曝險角色，仍可能在 SAML IdP 模式受 CVE-2026-107406 影響。加拿大網安中心也明確寫出，先前漏洞的修補不足以處理這個新問題。
對於事件狀態，兩個官方來源的用語須分清。Citrix 確認漏洞類型、前置條件、分數與修補版；加拿大網安中心確認新編號已納入其警示，並為受影響組織提出處置與證據保存建議。加拿大警示前段提到的活躍利用報告，是關於較早的 CVE-2026-88771 與 CVE-2026-88772；不能直接延伸為 CVE-2026-107406 已在某個讀者環境成功利用。公告沒有公開讀者組織的受害清單、攻擊時間線或資料外洩證據。若設備出現重新啟動、登入中斷或異常連線，也需要結合本地日誌、版本和其他故障原因分析，不能只憑單一現象就斷言是這個漏洞。
你可以怎麼做：先指定資產負責人核對每一台 ADC 或 Gateway 的執行版本、SAML 角色及是否為客戶自管，整理成可追蹤清單。把對外服務、關鍵登入路徑與符合原廠條件的節點優先安排修補，並在變更前確認備援切換、組態備份、回復方案及維護視窗。依原廠公告選擇對應支線的新版，更新後讀回設備版本，測試必要的登入、遠端連線與應用可用性。若尚不能立即更新，應依組織風險評估縮小可接觸面、強化監控並記下暫行措施期限；暫行控管不能冒充已完成原廠修補。對於多節點部署，要逐台記錄結果，避免只更新入口的其中一台而遺漏備援設備。
若有疑似遭入侵或異常重啟的跡象，應在可行且不延誤必要遏止措施的前提下先保留設備日誌、遠端 syslog、NetScaler Console 紀錄及相關網路與認證事件，再由授權應變人員決定隔離、修復或重建順序。加拿大網安中心提醒，在關機、重新啟動、套用補丁或重建之前保存鑑識資料，並核對可疑連線、管理活動和持續性跡象。補丁可修正軟體缺陷，卻不能自動證明曾遭控制的設備已恢復可信；如確有入侵疑慮，還須評估憑證與工作階段是否受影響。這些是風險調查步驟，不表示這次 CVE 已在所有受影響環境遭到利用。
這次公告能確認的重點，是 10 月 8 日公布的新漏洞具有明確的 SAML 角色與版本前置條件，且需要比前一輪更新更後面的修補版；10 月 9 日的加拿大警示又獨立強調舊補丁不足與保存證據的重要性。公開來源仍不能回答某家組織究竟部署哪些分支、是否真的啟用 IdP 或 SP、是否已套用正確套件，以及本地是否有入侵證據。最務實的決策順序是核對資產與設定、辨認符合條件的設備、保存必要現場資料、依原廠目標版升級並驗證服務。不要以單一分數取代版本調查，也不要把過去不同 CVE 的利用報告套到這次事件上。
官方來源：
- Citrix NetScaler ADC and Citrix NetScaler Gateway Security Bulletin for CVE-2026-107406（Citrix）
- AL26-024 – Critical vulnerabilities affecting Citrix NetScaler ADC and NetScaler Gateway – Update 2（加拿大網路安全中心）
這篇觀察對你有幫助嗎？
支持 Darknoted 持續維護隔離研究環境、資料查核與內容更新。
了解如何支持本站更新紀錄
：完成公開內容與 metadata 更新。