聚焦源代码安全网罗国内外最新资讯编译代码卫士Citrix已修复影响 NetScaler ADC 网络设备与 NetScaler Gateway 安全远程访问解决方案的两个漏洞其中一个与近年 0day 攻击中被利用的 CitrixBleed 和 CitrixBleed2 漏洞极为相似。该严重级别的安全漏洞编号为 CVE-2026-3055源于输入验证不足可导致 Citrix ADC 或 Citrix Gateway 设备配置为 SAML 身份提供商 IDP 时发生内存越界读取可能使未授权的远程攻击者窃取会话令牌等敏感信息。Cloud Software Group 在周一发布的公告中警告称“Cloud Software Group 强烈敦促受影响的 NetScaler ADC 和 NetScaler Gateway 客户尽快安装相关更新版本。”Citrix 还分享了关于如何识别和修补受 CVE-2026-3055 漏洞影响的 NetScaler 实例的详细指南。该公司还修补了 CVE-2026-4368该漏洞影响配置为网关SSL VPN、ICA Proxy、CVPN、RDP proxy或 AAA 虚拟服务器的设备可能使在目标系统上拥有低权限的攻击者以低复杂度利用竞争条件漏洞从而导致用户会话混淆。这两个漏洞影响 NetScaler ADC 和 NetScaler Gateway 版本 13.1 和 14.1已在 13.1-62.23 和 14.1-66.59 中修复以及 NetScaler ADC 13.1-FIPS 和 13.1-NDcPP已在 13.1-37.262 中修复。互联网安全监督组织 Shadowserver 目前追踪到超过 30000 个 NetScaler ADC 实例和超过 2300 个 Gateway 实例暴露在互联网上。但尚无关于其中有多少实例使用了易受攻击的配置或已针对攻击进行修复的信息。与之前漏洞存在相似之处自 Citrix 发布修复该漏洞的安全更新以来多家网络安全公司警告称针对 CVE-2026-3055 的攻击进行防护至关重要。其中多家公司还指出了该漏洞与近年来 0day攻击中被利用的 CitrixBleed 和 CitrixBleed2 越界内存读取漏洞之间存在明显的相似之处。网络安全公司 watchTowr 表示“不幸的是许多人会意识到这听起来与 2023 年被广泛利用的‘CitrixBleed’漏洞以及随后于 2025 年披露的‘CitrixBleed2’变体相似这两个漏洞过去和现在都持续在真实攻击中被积极利用。尽管 Citrix 表示该漏洞是内部发现的但可以合理预期威胁行为者将尝试对补丁进行逆向工程以开发利用能力。”Rapid7 补充道“一旦利用代码公开CVE-2026-3055 的漏洞利用很可能会发生。因此运行受影响 Citrix 系统的客户尽快修复此漏洞至关重要Citrix 软件此前曾出现过内存泄漏漏洞被广泛利用的情况包括 2023 年臭名昭著的‘CitrixBleed’漏洞 CVE-2023-4966。”2025 年 8 月CISA 将 CitrixBleed2 标记为已被积极利用并要求联邦机构在一天内完成系统加固。总体而言美国网络安全机构已将 21 个 Citrix 漏洞标记为已被野外利用其中 7 个曾被用于勒索软件攻击。开源卫士试用地址https://oss.qianxin.com/#/login代码卫士试用地址https://sast.qianxin.com/#/login推荐阅读Citrix 紧急修复已遭利用的 NetScaler RCE 0day漏洞Citrix 分享Netscaler 密码喷射攻击的缓解措施刚刚Citrix 修复两个易遭利用的0day漏洞原文链接https://www.bleepingcomputer.com/news/security/citrix-urges-admins-to-patch-netscaler-flaws-as-soon-as-possible/题图Pixabay License本文由奇安信编译不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。奇安信代码卫士 (codesafe)国内首个专注于软件开发安全的产品线。觉得不错就点个 “在看” 或 赞” 吧~