先說結論：管理 Citrix NetScaler ADC 或 NetScaler Gateway 的團隊，今天應同時核對設備版本與 SAML 角色，不能只看先前是否完成另一批 NetScaler 更新。Citrix 在 2026 年 10 月 3 日發布 CVE-2026-88779 公告，指出受影響的客戶自管設備若設定為 SAML 服務提供者或身分提供者，記憶體處理缺陷可能造成服務阻斷；SAML 是讓不同系統交換登入身分資訊的標準。美國 CISA 於 10 月 4 日將此編號加入已知遭利用漏洞目錄，加拿大網路安全中心也在 10 月 5 日提醒管理者更新。這些公告足以支持優先盤點及修補，卻不能推論任何特定組織已遭入侵、資料已被竊取，或所有 NetScaler 設備都具有相同曝險。
背景與前因：NetScaler ADC 是分配與保護應用程式流量的設備，Gateway 則常作為遠端使用者進入內部服務的入口。兩者可能承擔身分驗證，因此可用性中斷對登入流程和業務服務都有連鎖影響。Citrix 的正式公告在 10 月 3 日首次發布；它與先前 CVE-2026-88771 至 CVE-2026-88778 的安全公告並非同一修補事件。Citrix 後續說明明確提醒：即使管理者已安裝前一份公告所列更新，只要這次的配置條件成立，仍須再升級至針對 CVE-2026-88779 發布的版本。本文於台北時間 10 月 7 日重新查核原廠公告、CISA 原始目錄及加拿大政府警示，將舊更新與新漏洞分開處理。
原因與前置條件：原廠把問題歸為記憶體緩衝區操作邊界不當，通俗地說，就是處理資料時沒有妥善限制可讀寫的記憶體範圍。原廠列出的結果是拒絕服務，也就是合法使用者可能暫時無法取得原本的服務，而非在公告中宣稱可直接讀取客戶資料或取得管理權限。成立條件是設備設為 SAML SP 或 SAML IdP；SP 是依賴另一個身分系統確認使用者的服務端，IdP 是負責提供身分確認的系統。設備採用哪個角色，須由管理者讀回實際設定，不能因為公司使用 SAML 就推定所有 NetScaler 都符合，也不能因為某個介面沒有明顯標示就自行排除。
Citrix 原廠另說明，SAML 驗證與 Gateway 或 AAA 功能的組合值得特別核對。AAA 是驗證身分、決定權限並記錄使用情形的機制。維運人員應以資產台帳對照實際運行配置，辨認哪些節點承擔登入服務、哪些是備援或測試環境，再按原廠公告檢查 SAML 角色。這項防禦性核查應由有權限的管理者在自己的設備上執行；公開文章不需要提供能用於探測他人設備的請求內容或利用方式。若由外包或代管業者維護，要求對方提供節點、版本、角色及升級完成時間，比只收一封『已處理』通知更能確認範圍。
影響範圍：Citrix 將客戶自行管理的 NetScaler ADC 與 NetScaler Gateway 14.1 支線、13.1 支線中低於固定版的受支援版本列入公告，前提仍是符合上述 SAML 配置。ADC 與 Gateway 的 14.1 應升至 14.1-73.41 或更新版，13.1 應升至 13.1-64.28 或更新版。特殊認證支線要分開比較：ADC 14.1-FIPS 應達 14.1-73.41 FIPS，ADC 13.1-FIPS 與 13.1-NDcPP 應達 13.1-37.282。FIPS 與 NDcPP 是不同合規配置支線的名稱，不能直接拿一般版的數字代替各自的修補門檻。加拿大網安中心的警示也列出同一批產品及門檻，供維運者交叉核對；精確修補依據仍是 Citrix 原廠版本表。
原廠同時指出，使用 NetScaler 執行個體的 Secure Private Access Hybrid 部署也要檢查並更新相關執行個體。相對地，這份公告針對客戶自管設備；Citrix 表示由它管理的雲端服務和 Adaptive Authentication 由原廠完成必要更新。『使用 Citrix 的雲端產品』不代表組織內所有本地 NetScaler 都由原廠代管，混合部署更應逐一列出責任分界。讀者若無法確定設備屬於哪個維護模式，應先請供應商或內部平台團隊提供資產及版本證據，避免把服務名稱當作修補狀態。
利用狀態須與技術後果分開看。CISA 的已知遭利用漏洞目錄於 10 月 4 日新增 CVE-2026-88779，說明它不是純粹理論風險；CISA 在該項目記載的影響也是拒絕服務，並要求依原廠指示處置。Citrix 的補充說明表示已觀察到針對尚未緩解部署的定向攻擊，反覆觸發可能延長不可用時間，同時表示其分析沒有確認客戶資料完整性受到影響。加拿大網安中心獨立發布公共警示，指出已知遭利用狀態並提醒盡速安裝更新。三者的角色不同：原廠提供配置與版本細節，CISA 提供其目錄的利用狀態，加拿大政府提供跨機關的維運提醒；政府警示引用原廠的版本資料，不能誤當成另一套獨立漏洞測試。
你可以怎麼做：先建立所有 ADC、Gateway、備援與混合部署執行個體清單，記錄產品、支線、完整版本、是否客戶自管，以及是否擔任 SAML SP 或 IdP。接著按 Citrix 正式公告安排升級，並把對外入口與身分驗證核心節點列為優先。更新前依組織流程備份設定、確認回復方案與維護視窗，更新後從實際服務節點回讀版本，測試登入及相關業務服務。若有負載分流或多個節點，不應以一台已更新的畫面代表整群都已完成；逐台記錄結果才能排除備援節點留下舊版的情況。
若無法立即升級，Citrix 補充文章介紹可透過 Global Deny List 簽章降低曝險，但它有軟體版號、Console 與功能啟用等前提，適用性須按原廠文件核對。這是過渡性緩解，不等於已安裝含修補程式的版本。維運團隊還可依既有網路政策檢查不必要的公開入口、監看服務可用性與異常流量，並訂出明確的升級期限；不能把單一防火牆規則或簽章命中數視為漏洞已根除。若登入服務已出現反覆中斷，先保留設備事件、時間線和變更紀錄，再由授權應變人員判斷是否與此漏洞、其他故障或維護活動相關。
這次核查的限制也應寫進決策。公告沒有提供讀者自己的設備配置、服務拓樸或實際流量，因此本文無法判定某家公司是否符合前置條件。CISA 收錄 KEV 不等於每台暴露設備都已受攻擊；服務無法使用也有許多非惡意原因。反過來說，尚未看見停機不表示設備安全，因為版本與配置仍可能符合條件。應把公告日期、10 月 7 日查核日期、設備版本與本地證據分開記錄，必要時請原廠支援確認支線與修補範圍。本文的核心判斷是先確定 SAML 角色與自管邊界，再依各支線升級及驗證可用性；資料外洩或特定受害事件仍屬未獲這些公開來源證實的問題。
官方來源：
- Citrix NetScaler ADC and Citrix NetScaler Gateway Security Bulletin for CVE-2026-88779（Citrix／Cloud Software Group）
- Known Exploited Vulnerabilities Catalog, CVE-2026-88779（美國網路安全暨基礎設施安全局 CISA）
- Citrix security advisory (AV26-996)（加拿大網路安全中心）
這篇觀察對你有幫助嗎？
支持 Darknoted 持續維護隔離研究環境、資料查核與內容更新。
了解如何支持本站更新紀錄
：完成公開內容與 metadata 更新。