思杰（Citrix）周日凌晨发布紧急安全更新，修复NetScaler ADC和NetScaler Gateway中的一个零日漏洞。该漏洞编号CVE-2026-88779，CVSS评分8.7分，已被用于针对未修复设备的定向攻击。尴尬的是，两周前刚为上两个零日漏洞打过补丁的管理员，这次又得重新升级。
据思杰官方安全公告，CVE-2026-88779是一个内存溢出漏洞，影响NetScaler ADC和NetScaler Gateway。成功利用的前提是设备被配置为SAML服务提供方（SP）或SAML身份提供方（IdP）——管理员可以在运行配置中查找`add authentication samlAction`或`add authentication samlIdPProfile`两条命令来判断自家设备是否在影响范围内。The Hacker News 10月5日报道，修复版本为14.1-73.41、13.1-64.28，以及对应的FIPS版本。
思杰在博客中表示，已观察到针对未修复NetScaler设备的定向攻击，可导致拒绝服务："如果该条件被反复触发，服务可能持续不可用。我们的分析表明，该问题影响的是服务可用性，目前未发现对客户数据完整性的影响。"除补丁外，思杰还提供了全局拒绝名单（Global Deny Lists），用于封禁已知的恶意IP地址，但仍建议客户尽快安装更新。
本轮最让运维人员头疼的是"重复升级"。据BleepingComputer报道，攻击最早在周四被发现：多名管理员反映，已升级到14.1-73.37（9月27日为修复CVE-2026-88771和CVE-2026-88772而发布的版本）的设备莫名其妙地反复重启。症状是`nsaaad`进程崩溃，看门狗服务pitboss达到重启上限后强制重启整机。思杰最初只发布了一份"新发现问题"的通知，既没有CVE编号也没有修复方案，直到周末才给出编号和补丁。思杰明确：之前为CVE-2026-88771至CVE-2026-88778升级过、且满足SAML前提的客户，需要再次升级。
官方"只影响可用性"的说法遭到研究人员的质疑。安全研究员凯文·博蒙特（Kevin Beaumont）称，他架设的蜜罐在打上补丁后仍下载并运行了恶意程序二进制文件："其中一个蜜罐在运行下载来的恶意二进制文件，两台都打过补丁，所以这是新漏洞。"这意味着该漏洞的实际危害可能超出拒绝服务，存在远程代码执行的可能。Tenable的梳理则指出，9月那批零日漏洞中的CVE-2026-88772，据Mandiant和谷歌威胁情报组织确认，早在9月初就已开始被利用。
美国网络安全与基础设施安全局（CISA）已将CVE-2026-88779列入"已知被利用漏洞"目录，要求联邦机构在10月7日前完成修复。对企业而言，KEV上榜是最高级别的警示信号。接下来，管理员一方面要尽快把SAML相关设备升到最新构建，另一方面——用Undercode News的话说——"不要把'打过补丁'等同于'没被入侵'"：Mandiant建议，在打补丁前先排查入侵痕迹、保留证据，因为补丁本身清不掉已经落地的攻击者。