超越補丁：保護 NetScaler Gateway 免於未來漏洞

最近披露的一個重大漏洞在 Citrix NetScaler 中指出了一個普遍的弱點：登入頁面是一個攻擊面，可用於侵入並存取應用程式伺服器。事實上，披露包含了一個正在被活躍利用的缺陷，允許攻擊者在未登入的情況下在受影響的閘道器上執行命令。與任何緊急修補程式一樣，管理員必須衡量切斷或中斷使用者存取與延遲關鍵安全更新的風險。

若您是 NetScaler 客戶且尚未修補您的例項，請停止閱讀並立即進行修補。這次漏洞相當嚴重。完成修補後，我們將探討如何透過加強安全控制來避免未來的緊急處理。

此問題不僅限於 NetScaler，亦適用於任何可在網際網路上存取的內部應用程式。遠端桌面入口、管理控制台以及其他公開可存取的認證頁面皆應接受同樣審查：目標使用者是否需要無限制的網際網路存取？攻擊者能否繞過此認證檢查以存取應用程式伺服器？

Citrix 已發布軟體更新以修補此缺陷，Cloudflare 於10月1日隨即推出緊急網路應用程式防火牆（WAF）規則。但僅有修補程式可用並不代表安全：每個例項都必須被識別、更新並測試。於正式環境部署更新往往痛苦——可能造成停機或幹擾仍需桌面使用者的員工。依賴遠端桌面使用者的客戶、病患及其他人，絕對不會關心您的安全修補。

使用網路應用程式防火牆（WAF）能在完整部署修補程式前提供額外時間，但它是被動的，無法應對未來發現的攻擊。Cloudflare 及其他安全供應商盡力覆蓋各種變異與相似攻擊。然而 AI 正加速攻擊者發現新型與新奇變體的速度。因此，建立深度防禦至關重要，以確保任何特定軟體失效或利用不會導致關鍵安全問題。

Cloudflare 結合存取政策、網路應用程式安全與受限來源連線，以在新漏洞披露前保護認證服務。存取控制限制誰能存取應用程式伺服器；WAF 檢查評估網路請求是否為攻擊；來源限制阻止直接連線繞過防禦。這些措施在不等待新攻擊簽章或取代現有桌面平臺的情況下降低風險。

NetScaler 漏洞利用

Citrix 的 2026年9月27日公告報告了對 CVE-2026-88771 與 CVE-2026-88772 的實際利用。第一個漏洞允許未經身份驗證的攻擊者在受影響的裝置上執行命令，包括其預設設定；第二個漏洞影響使用 Datagram Transport Layer Security（DTLS）的設定。於 10月3日與 10月8日的進一步通告則針對 SAML 設定中的其他漏洞。這些利用允許攻擊者在目標機器上執行任意指令碼，並可發動拒絕服務攻擊。

CISA's alert and Mandiant's technical investigation 更詳細地說明瞭漏洞、已觀測到的利用方式以及回應指引。欲瞭解可用的網頁應用程式防護，請參閱Cloudflare's emergency WAF release for CVE-2026-88771。

在典型的 Citrix 部署中，使用者透過 NetScaler Gateway 進行身份驗證，之後 Gateway 會使用安全票證授權將連線傳遞至 StoreFront，StoreFront 會呈現該使用者可使用的應用程式與桌面。原生安裝的 Citrix 應用程式接著使用這些資訊，透過 Citrix 的獨立運算架構 (ICA) 協定建立一個獨立連線。Gateway 在代理桌面連線前會先驗證票證。Citrix 將這些流程定義為 distinct stages of the connection workflow。整個利用漏洞的根源在於 Gateway 必須公開於網際網路上，否則使用者無法啟動桌面連線。

將存取決策置於身份驗證伺服器之前

在所有例項修補完畢後，最好的做法是將任何可公開存取的登入頁面或應用程式移至單一登入 (SSO) 後面，確保請求在到達目標伺服器之前已被處理。Cloudflare Access 可以在請求抵達現有 Gateway 伺服器前，執行 an independent access policy。Citrix 環境仍會決定使用者可啟動的桌面並驗證產生的會話票證。額外的邊界確保攻擊者無法到達 Gateway 伺服器去嘗試特定漏洞；他們只能看到 Cloudflare Access 的登入頁面。

這項決策不再依賴於辨識漏洞簽章並以此阻擋，而是依靠一套零信任政策來判斷是否有人應該存在於此。類似攻擊將會持續湧現，於網路全域採用零信任控制是你接下來最重要的步驟。

這遵循 Cloudflare's own architecture as customer zero 所描述的原則：降低曝露並使用獨立防禦，避免單一缺陷造成整體妥協。在此，實際的起點是使用者在進入應用程式前所接觸的服務。

保護網頁身份驗證路徑會在現有 Citrix 控制前新增一層邊界。這並不會自動將該邊界擴充套件至其他 Gateway 服務，包括支援 DTLS 的監聽器。即使這些介面支援桌面會話，它們仍需自行進行曝露評估與相應的安全更新。

原始連線必須執行相同的邊界

僅更改 DNS 記錄並執行 Access 政策是不夠的。若攻擊者能夠連線至原始位址或替代主機名稱，他們便能繞過前置的控制。Access 只允許特定主機名稱：若身份驗證伺服器可透過 IP 位址或替代主機名稱連線，則 Access 政策執行將毫無效用。重要的是採取措施，確保所有流量

Cloudflare Tunnel 是最常用的方法。它只從你的應用程式伺服器建立一條出站隧道，並允許你關閉所有進站 IP 流量。這意味著伺服器不會有任何可被任何人訪問的公開 IP。

當必須保留公開來源 IP 或無法執行聯結器軟體時，網路限制與來源驗證需要限制其接受的連線。例如，Dedicated CDN Egress IPs 為帳戶提供專屬來源位址，供 Cloudflare 到其來源的流量使用。應用程式伺服器的防火牆可以允許這些位址，並拒絕其他來源。這樣就能使 the network restriction specific to the account's traffic，而不是廣泛允許來自 Cloudflare 共用位址範圍的流量。

Authenticated Origin Pulls 可以進一步加深安全性，透過雙向 TLS 驗證 Cloudflare 與來源之間的連線。

支援此功能的來源也可以 validate the Access JSON Web Token，包括其簽章、簽發者、過期時間與預期的應用程式受眾。這是確保請求已由 Access 認證的最佳方式。

如果你不確定從哪開始， speak with a Cloudflare expert 來審查你的架構並找出適合你環境的控制措施。

保護面向網路的驗證服務

Cloudflare Access 確定誰能存取網路應用程式；Cloudflare 的網路應用程式防火牆 (WAF) 檢查對同一受保護服務的 HTTP 請求。WAF 在任何 Access 認證檢查之前執行，讓您能完全阻擋已知惡意 IP、特定國家、ASN 或其他您確定不應存取您應用程式的屬性。防火牆持續對所有請求運作，並會識別已成功認證且嘗試執行已知 CVE 簽名漏洞利用的使用者。

除了已管理的 CVE 簽名，WAF 攻擊分數使用機器學習識別不完全符合已知規則的潛在惡意請求。管理員可在規則中使用此分數來阻擋或挑戰請求。WAF 攻擊分數由 Cloudflare 全球網路流量與 Cloudforce One 調查資料源的網路觀測驅動，並結合 Cloudflare 的共享威脅情報平臺。

擁有 Cloudforce One 威脅情報訂閱的客戶亦可在 WAF 政策中使用即時威脅指標。這為已知惡意來源提供背景資訊，並結合對請求本身的檢查。

降低暴露度並不會移除已經取得根基的攻擊者。認真來說：如果尚未修補系統，請立刻修補，並遵循 Citrix 的疑似被攻破指引。他們說明如何保留證據、撤銷憑證與證書、調查已連線系統，以及從已知良好狀態重建或還原。

將零信任延伸至桌面存取，或移除桌面依賴。

保護網路身份驗證可以作為初步步驟，而不必將其視為最終架構。Cloudflare 的Zero Trust 架構用於虛擬桌面也支援控制對桌面基礎設施本身的存取。透過 Cloudflare One Client 與私人網路連線，團隊能限制哪些使用者與裝置可存取承載桌面流量的端點，包括現有的獨立計算架構（ICA）路徑。這需要自己設計路由與政策；並非僅靠瀏覽器身份驗證代理即可提供。

有些工作流程可以改為移除 ICA 依賴。對於支援的 Windows 工作負載，Cloudflare 的基於瀏覽器的遠端桌面存取透過 Cloudflare Tunnel 將使用者連線至 Windows 主機，無需本地遠端桌面客戶端。若使用者僅需桌面來開啟網頁應用程式，Access 與 Browser Isolation 可取代該網頁存取使用情境，而不需要完整的虛擬桌面。

先保護身份驗證服務與現有桌面連線。接著取代僅用於網頁存取的虛擬桌面，並將支援的 Windows 工作流程遷移至基於瀏覽器的遠端桌面。降低風險不必等到完整桌面遷移完成。

決定哪些身份驗證服務需要公開

同樣的評估適用於虛擬桌面之外。員工門戶或管理主控臺可能需要允許經核准的使用者從任何地方存取，而不必接受所有人的應用程式請求。

並非所有身份驗證頁面都能要求先前的員工身份。消費者登入頁面以及建立初始會話所需的身份提供者端點可能需要保持公開可存取。有意地保護它們，並避免引入迴圈身份驗證依賴。重點是將可存取性作為設計決策，而非遺傳的預設。

先從一項受限服務開始。將網路與非網路路徑對映進去，然後將存取決策置於其身份驗證介面之前。在擴大部署前，先在自己的環境中驗證邊界：

在未登入的情況下請求受保護的主機名稱。確認請求在 Cloudflare 停止，而非到達來源。
以不在授權群組內的測試帳號登入。確認它仍無法存取受保護的應用程式。
測試直接來源位址與替代主機名稱。確認沒有任何方式繞過存取政策。
以授權使用者登入。確認身份驗證、桌面啟動與會話重新連線仍能正常運作。

檢查相關政策、防火牆與來源日誌，而非僅依賴瀏覽器顯示。當路由、身份或故障轉移設定變更時，重複這些檢查，避免下一次設定更新悄悄重新開啟你已封鎖的路徑。

將控制項整合

完整架構將存取決策、網頁檢查與可用性控制置於 NetScaler 前端，並限制連線至來源。公開來源與 Tunnel 路徑為替代方案。原生桌面連線保持獨立，並可在該流量上加上可選的 Zero Trust 網路存取層。

開始

與 Cloudflare 專家對話以規劃適合您環境的正確控制措施。下載解決方案簡報並註冊即將舉行的網路研討會.

Andrei Migia、Nathan Sackett 與 Doug Shepherd 對此貼文有所貢獻。