(8.7分) CVE-2026-88779：NetScaler SAML内存溢出DoS

红队安全圈
红队安全圈

红队安全圈

2026年10月5日 08:50
重庆

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

NetScaler 又出洞：这次无需登录，远程就能把 SAML 网关打崩，已进 KEV 目录，修复期限只给了三天。

NetScaler 又出事了。这次是 CVE-2026-88779，一个无需登录、远程即可触发的内存溢出漏洞，专打配置成 SAML SP 或 SAML IdP 的 NetScaler ADC / Gateway 实例，打崩就是网关级断服。官方 10 月 3 日发布通告 CTX697174，10 月 4 日该漏洞进入 CISA KEV 目录（修复期限 10 月 7 日），节奏非常紧。如果你的出口网关或认证入口跑的是 NetScaler，这篇看完直接去查版本。

01  漏洞速览

漏洞编号CVE-2026-88779

影响产品NetScaler ADC / Gateway（SAML SP 或 IdP 配置）

漏洞类型内存溢出（CWE-119）→ 拒绝服务

危害等级CVSS v4.0 8.7（High）

攻击前提网络可达即可，无需认证、无需交互

在野利用已入 KEV 目录（10 月 4 日）

已知 PoC暂无公开 PoC/EXP

影响面仅可用性（打崩设备），不泄露数据

CVSS 向量：AV:N/AC:L/PR:N/UI:N/VA:H

02  漏洞成因

根因是 SAML 认证流量处理逻辑里的内存边界校验缺失。NetScaler 在处理构造的 SAML 报文时，受影响组件的内存操作越界，直接把 nsaaad 进程打崩；崩溃后 pitboss 看门狗机制会触发整机重启来恢复服务。也就是说攻击者不需要什么花活，持续发送恶意 SAML 流量就能让设备反复崩溃重启，形成稳定的拒绝服务。

实际观察到的崩溃行为出现在 14.1-73.37 / 13.1-64.23 版本上，说明这批中间版本同样在射程内。这个洞和同一批通告里的 CVE-2026-88771 / 88772 是独立问题，别打完那两个补丁就以为安全了。

03  影响范围

受影响版本（配置为 SAML SP/IdP 时）：

ADC / Gateway 14.1

低于 14.1-73.41

ADC / Gateway 13.1

低于 13.1-64.28

ADC 14.1-FIPS

低于 14.1-73.41 FIPS

ADC 13.1-FIPS/NDcPP

低于 13.1-37.282

注意：云托管版本由官方统一修复，自管部署才是重点排查对象。FIPS 分支也在受影响列表里，别以为合规镜像就没事。

04  利用分析

目前没有公开 PoC，属于危害推演：攻击路径非常直白——找到暴露在公网的 NetScaler 登录页或 SAML 端点，发送构造的 SAML 认证流量触发内存越界，nsaaad 崩溃、pitboss 重启，循环即持续断服。不需要任何凭据，攻击门槛几乎为零。

对红队来说这不算高价值漏洞（没有 RCE），但对蓝军是噩梦：VPN 网关打崩意味着全员远程办公中断，且重启现象和 88771/88772 的补丁失效容易混淆，误导排障方向。

05  检测与排查

三步确认自己是否在射程内：

第一步：确认角色。设备上是否存在 Gateway（VPN 虚拟服务器、ICA Proxy、CVPN、RDP Proxy）或 AAA 虚拟服务器，且启用了 SAML SP/IdP 配置。纯负载均衡没配 SAML 的实例风险低。

第二步：查版本

show version

show ns runningConfig |

grep -i saml

第三步：查崩溃痕迹。检查 ns.log 有无 nsaaad 异常记录，看 /var/core 是否有 core dump。如果设备近期反复重启，先保留 ns.log、/var/core、认证日志和 support bundle 再重启，别直接清掉——那是确认是否被打了的关键证据。

06  修复建议

1. 立即升级到修复版本：14.1-73.41+ / 13.1-64.28+ / 14.1-73.41 FIPS+ / 13.1-37.282+（按分支对应）。

2. 官方没有发布替代缓解方案，升级是唯一正解；补丁排期内先把管理口和服务口从不可信网络隔离，公网暴露的 Gateway/AAA 实例优先打。

3. 另注意：不要把单纯的重启当成 88771/88772 补丁失败——那是这个洞的典型表现。

07  红队视角

从实战价值讲，这是个 DoS 洞，渗透项目里用处不大——拿下权限才是目标，把客户网关打崩只会把自己暴露。但它对红队报告很有用：一个无需认证就能让核心网关反复重启的洞，写进报告里客户会立刻批预算。

防守侧的启示更直接：NetScaler 这两年已经是 KEV 常客，光 88771/88772/88779 这一批就连出三个。只要你在公网挂着 NetScaler，版本管理就必须当最高优先级资产对待——KEV 从进目录到修复期限只给了三天，临时排查根本来不及。

08  POC 链接

暂无公开 PoC。权威参考：

https://support.citrix.com/external/article/CTX697174

https://nvd.nist.gov/vuln/detail/CVE-2026-88779

https://www.cisa.gov/known-exploited-vulnerabilities-catalog

说明：依次为 Citrix 官方通告 CTX697174、NVD 漏洞详情、CISA KEV 目录页。出现公开 PoC 后会跟进更新利用细节。

如果文章对您有收获，欢迎关注、点赞、推荐、转发。

— END —