NetScaler SAML 漏洞風險升溫：企業應即查 ADC 與 Gateway

圖片：TechLab 自製資訊圖

TechLab 編輯部（譯）·2026-10-12更新：2026-10-12

Citrix 已針對 NetScaler 漏洞 CVE-2026-107406 發布緊急更新。iThome 報道指出，受影響焦點並非所有 NetScaler 部署，而是被設定為 SAML 服務提供者（SP）或身分驗證提供者（IdP）的 NetScaler ADC 與 Gateway。對以 Gateway 支援遙距存取、以 ADC 承接關鍵系統流量，或把 SAML 單一登入接入企業身分系統的機構而言，這是一項應優先盤點的風險。

此漏洞的 CVSS v4.0 評分為 9.5，屬嚴重漏洞。iThome 引述 Citrix 資訊稱，問題源於記憶體緩衝區溢位，可能造成遙距程式碼執行（RCE）或阻斷服務（DoS）。不過，報道同時指出 Citrix 暫未發現 CVE-2026-107406 已被利用的跡象。這項限制很重要：企業需要按其潛在影響迅速處理，卻不應將「尚未發現」錯寫成「已確認有入侵」。

SAML 設定令檢查範圍更清晰

SAML 常被企業用作把登入驗證交由既有身分系統處理的機制。當 NetScaler 擔任 SP，或反過來承擔 IdP 角色時，它會處於驗證流程的關鍵位置。iThome 所載資料將受影響條件明確指向這兩類設定，IT 團隊不宜只按設備名稱或網段作粗略判斷，而應從實際啟用的身分驗證角色開始確認。

這亦意味著風險管理要同時看「有沒有設備」和「設備正在做甚麼」。一台未有參與 SAML 流程的 NetScaler，與一台暴露於合作夥伴、員工或遙距使用者登入路徑的 Gateway，處理優先次序未必相同。從防守角度分析，後者一旦出現 RCE 風險，可能觸及存取閘道或應用程式交付層；若造成 DoS，則可能直接影響登入、遙距工作及依賴該閘道的服務可用性。

香港的企業、金融及跨境機構若以 NetScaler 支援 VPN、Gateway 或 SSO，尤其應把這次檢查納入既有變更流程。這不等於報道已確認香港機構受襲或受影響，而是由於這些部署用途與 iThome 點出的 SAML 條件直接相關，故值得優先核實。對營運團隊而言，先界定實際攻擊面，通常比把全部設備一律停機更有助在安全與服務連續性之間取得平衡。

近期修補背景提高處理優先度

iThome 指出，Citrix 在 9 月底至 10 月上旬曾修補多項 NetScaler 漏洞，當中 CVE-2026-88771、CVE-2026-88772 及 CVE-2026-88779 已遭利用。這些已被利用的漏洞，並非 CVE-2026-107406 的利用證據，兩者必須清楚分開；但它們反映 NetScaler 在近期已成為攻擊者及防守團隊高度關注的修補目標。

因此，企業不應因新漏洞目前未見利用跡象而把它放到一般季度更新才處理。較合理的判斷是：漏洞本身的潛在後果嚴重，而近期同一產品已有其他漏洞被利用，令資產清單、版本治理與外部存取檢查的重要性同步上升。這是依據來源事實作出的風險排序分析，並非指 CVE-2026-107406 已經與此前攻擊活動有關。

報道稱 Citrix 已發布新版 NetScaler 作修補，但未列出各受影響分支對應的確切修補版本或 build 編號。實務上，團隊不應憑「已升到較新版本」作判斷，而要以 Citrix／NetScaler 為 CVE-2026-107406 提供的官方安全公告及相應產品分支版本作逐項比對。若內部設備由託管服務商或系統整合商維護，亦要取得明確的版本與套用時間紀錄。

緊急檢查可分為四個層面

第一，建立可核對的 NetScaler ADC 與 Gateway 清單，包含對外或內部可達的管理位址、服務位址、負責團隊及維護窗口。第二，檢視每項部署有否被設定為 SAML SP 或 IdP，並記錄其所連接的身分驗證服務、使用者群組及依賴的業務系統。這一步能把報道所述的受影響條件，轉化為可以分派工作的資產範圍。

第三，按官方公告核對目前版本及修補版本，安排先處理承載遙距存取、管理員登入或關鍵業務系統的實例；更新前應依既有程序備份配置、評估相容性及預備回復方案。第四，在維護完成後重新驗證 SAML 登入及系統交付和遙距連線，避免修補本身令身分驗證鏈中斷。對大型環境來說，分批更新和清楚的服務通知會較易控制營運風險。

此外，安全團隊可在合乎內部政策的前提下，覆核 NetScaler 與相關身分系統的日誌、異常失敗登入、服務不穩或未預期的管理活動。這類覆核的目的，是協助團隊掌握修補前後的運作狀況，並不表示 CVE-2026-107406 已出現入侵。若發現異常，應按既有事故應變程序保留紀錄、限制風險範圍並進一步調查。

修補之外，重點是把身分系統納入資產治理

這次事件突顯的管理問題，在於 SSO 與遙距存取元件往往同時屬於網絡、基建及身分團隊的責任範圍。若設備清單只記錄硬件位置，卻沒有標示它是否參與 SAML、面向哪些使用者，以及由誰批准變更，緊急修補便容易在交接位卡住。把這些服務關係寫入資產紀錄，能讓下一次安全公告出現時更快估算影響。

下一步值得觀察的是 Citrix／NetScaler 官方公告會否補充受影響分支、修補版本或其他技術指引，以及企業能否完成 SAML 相關部署的版本核實。現階段最務實的做法，是把 CVE-2026-107406 視為需要優先確認及更新的 NetScaler 風險，同時維持準確表述：iThome 報道所引 Citrix 資訊稱，暫未發現這個新漏洞遭利用。