思傑（Citrix）週日凌晨發佈緊急安全更新，修復NetScaler ADC和NetScaler Gateway中的一個零日漏洞。該漏洞編號CVE-2026-88779，CVSS評分8.7分，已被用於針對未修復設備的定向攻擊。尷尬的是，兩週前剛爲上兩個零日漏洞打過補丁的管理員，這次又得重新升級。
據思傑官方安全公告，CVE-2026-88779是一個內存溢出漏洞，影響NetScaler ADC和NetScaler Gateway。成功利用的前提是設備被配置爲SAML服務提供方（SP）或SAML身份提供方（IdP）——管理員可以在運行配置中查找`add authentication samlAction`或`add authentication samlIdPProfile`兩條命令來判斷自家設備是否在影響範圍內。The Hacker News 10月5日報道，修復版本爲14.1-73.41、13.1-64.28，以及對應的FIPS版本。
思傑在博客中表示，已觀察到針對未修復NetScaler設備的定向攻擊，可導致拒絕服務："如果該條件被反覆觸發，服務可能持續不可用。我們的分析表明，該問題影響的是服務可用性，目前未發現對客戶數據完整性的影響。"除補丁外，思傑還提供了全局拒絕名單（Global Deny Lists），用於封禁已知的惡意IP地址，但仍建議客戶儘快安裝更新。
本輪最讓運維人員頭疼的是"重複升級"。據BleepingComputer報道，攻擊最早在週四被發現：多名管理員反映，已升級到14.1-73.37（9月27日爲修復CVE-2026-88771和CVE-2026-88772而發佈的版本）的設備莫名其妙地反覆重啓。症狀是`nsaaad`進程崩潰，看門狗服務pitboss達到重啓上限後強制重啓整機。思傑最初只發布了一份"新發現問題"的通知，既沒有CVE編號也沒有修復方案，直到週末纔給出編號和補丁。思傑明確：之前爲CVE-2026-88771至CVE-2026-88778升級過、且滿足SAML前提的客戶，需要再次升級。
官方"隻影響可用性"的說法遭到研究人員的質疑。安全研究員凱文·博蒙特（Kevin Beaumont）稱，他架設的蜜罐在打上補丁後仍下載並運行了惡意程序二進制文件："其中一個蜜罐在運行下載來的惡意二進制文件，兩臺都打過補丁，所以這是新漏洞。"這意味着該漏洞的實際危害可能超出拒絕服務，存在遠程代碼執行的可能。Tenable的梳理則指出，9月那批零日漏洞中的CVE-2026-88772，據Mandiant和谷歌威脅情報組織確認，早在9月初就已開始被利用。
美國網絡安全與基礎設施安全局（CISA）已將CVE-2026-88779列入"已知被利用漏洞"目錄，要求聯邦機構在10月7日前完成修復。對企業而言，KEV上榜是最高級別的警示信號。接下來，管理員一方面要儘快把SAML相關設備升到最新構建，另一方面——用Undercode News的話說——"不要把'打過補丁'等同於'沒被入侵'"：Mandiant建議，在打補丁前先排查入侵痕跡、保留證據，因爲補丁本身清不掉已經落地的攻擊者。