不止于补丁：保护您的 NetScaler 网关，抵御未来的潜在漏洞

截至 2026 年 10 月 19 日，Citrix NetScaler 披露的信息揭示了身份验证页面为何可能成为关键攻击面。Citrix 9 月 27 日的公告称，已观察到针对 CVE-2026-88771 和 CVE-2026-88772 的实际利用。前者可在未经身份验证的情况下执行命令，包括运行于默认配置中的设备；后者则影响使用 Datagram Transport Layer Security（DTLS）的配置。10 月 3 日和 10 月 8 日发布的多项公告还针对 SAML 配置中的漏洞发布了安全通告。报告的影响包括任意脚本执行和拒绝服务攻击。

在添加新控制措施前修补所有实例

补丁的可用并不意味着整个环境已经安全。管理员仍需识别每一个受影响实例、安装适当的更新，并在生产环境中验证这些变更。这样可能会中断远程访问，但让一个已知存在可利用漏洞的网关继续暴露在外，面临的是另一种风险。

Cloudflare 于 10 月 1 日发布了针对 CVE-2026-88771 的紧急 Web 应用防火墙（WAF）规则。据 Cloudflare 表示，在部署补丁期间，WAF 可以争取更多时间，但它只是一种响应性控制措施，无法预判未来的每一种漏洞利用。随着攻击者利用 AI 生成已知攻击的变体，组织需要相互独立的防护层，而不是依赖单一漏洞特征。

在身份验证服务器之前执行访问判定

在典型的 Citrix 部署中，用户通过 NetScaler Gateway 进行身份验证。网关使用安全票据颁发机构（secure ticket authority）将会话传递给 StoreFront，后者会呈现可用的应用程序和桌面。随后，原生安装的 Citrix 应用使用 Independent Computing Architecture（ICA，独立计算架构）协议建立单独的连接。

由于远程用户必须能够从互联网访问网关，因此网关必然处于暴露状态。Cloudflare 表示，其 Access 服务可以在请求到达现有 NetScaler 环境之前实施独立策略。Access 决定是否应允许用户通过；Citrix 则继续决定用户可以启动哪个桌面，并验证由此生成的会话票据。配置正确时，攻击者只能到达 Access 登录页面，而无法到达易受攻击的网关。

这一边界适用于 Web 身份验证，但不会自动覆盖所有 NetScaler 接口。启用 DTLS 的侦听器和其他网关服务需要单独进行暴露评估并安装适用的更新，即使其支持的桌面会话已经使用身份验证。

阻止对源站的直接访问

如果原始服务器仍可通过其 IP 地址或其他主机名访问，那么仅更改 DNS 并启用访问策略并不足够。源站必须强制执行同一边界，确保只有经过访问层验证的请求才能连接。

Cloudflare Tunnel：它从应用服务器建立仅出站的连接，使管理员能够关闭入站流量，并移除可公开访问的源站地址。
专用 CDN 出口地址：当必须保留公开的源站地址，或者连接器软件无法运行时，可以将源站防火墙配置为仅允许来自该账户专用 Cloudflare 源地址的连接。这比广泛允许 Cloudflare 的共享地址范围更为严格。
Authenticated Origin Pulls：双向 TLS 可以验证 Cloudflare 与源站之间的连接。在支持的情况下，源站还可以验证 Access JSON Web Token，包括其签名、签发者、到期时间以及预期的应用受众。

检查请求以及身份

访问控制决定谁可以访问 Web 应用，而 WAF 检查 HTTP 请求本身。Cloudflare 表示，其 WAF 会在 Access 身份验证之前评估流量，使管理员能够拦截已知恶意 IP 地址、来源国家、自治系统和其他不受欢迎的来源。

WAF 还可以检测携带已知 CVE 特征的请求，包括用户通过身份验证后发起的漏洞利用尝试。Cloudflare 表示，其 Attack Score 使用机器学习识别与现有规则不完全匹配但可能具有恶意的请求；管理员随后可以拦截这些请求或对其发起挑战。据该供应商称，该评分基于来自 Cloudflare 全球网络和 Cloudforce One 调查的观察结果。订阅了相应威胁情报服务的客户还可以在 WAF 策略中使用实时威胁指标。

降低暴露风险无法消除既有据点

额外的控制措施无法撤销已经发生的入侵。怀疑系统已遭入侵的组织仍应修补受影响的系统，并遵循 Citrix 的疑似入侵处置指南。相关处置流程包括保存证据、吊销凭据和证书、调查关联系统，以及从已知正常状态重新构建或恢复受影响的系统。

将保护扩展到浏览器之外

保护 Web 登录是可实现的第一步，但桌面流量可能走另一条路径。Cloudflare 表示，其 One Client 和私有网络连接能力可以限制哪些用户和设备能够访问承载 ICA 流量的端点。这需要单独的路由和策略设计，仅靠基于浏览器的身份验证无法实现。

对于受支持的 Windows 工作负载，Cloudflare 还介绍了通过 Cloudflare Tunnel 实现的浏览器远程桌面访问，无需在本地安装远程桌面客户端。如果虚拟桌面仅用于打开 Web 应用，Access 和浏览器隔离可以取代这一使用场景，无需进行完整的桌面迁移。

员工门户和管理控制台同样需要开展可达性评估。某些服务必须允许已获批准的用户从任何位置连接，但这并不意味着它们应接受来自整个互联网的应用请求。面向最终用户的登录页面和身份提供商端点可能必须保持公开，以建立初始会话。因此，团队应避免循环身份验证依赖，并有意识地决定哪些端点需要对外公开。

在真实环境中验证边界

在扩大部署范围前，测试受保护服务及其绕过路径：

请求受保护的主机名但不登录，并确认请求停在访问层，而不是到达源站。
使用不在许可组内的测试账户，并确认其无法访问应用。
测试直接源站地址和备用主机名，确认没有任何方式绕过策略。
使用获批账户，确认身份验证、桌面启动和会话重连仍可正常工作。
审查访问策略、防火墙和源站日志，不要只依赖浏览器界面。

每当路由、身份或故障转移设置发生变化时，都应重复这些检查。实际目标不只是阻止某一种漏洞利用，而是让可达性成为一项明确的设计决策，并确保任何单一软件故障都不会让公开的登录页面成为通往关键系统的直接路径。

资料来源：Beyond the patch: Protecting your NetScaler gateway against future vulnerabilities（2026-10-19）。