Citrix NetScaler 零日漏洞遭利用：攻击者部署 Web Shell 并向内网横向扩散

据 BleepingComputer 9 月 30 日报道，多家网络安全公司称，攻击者正在利用 Citrix NetScaler 的 CVE-2026-88772 零日漏洞发起入侵。来源显示，相关攻击不仅用于部署定制 Web Shell，还涉及隧道型恶意软件、获取 root 权限、窃取凭据，并进一步向企业内部网络扩散。对于依赖 NetScaler 进行应用交付、远程接入或网关访问的组织而言，这类漏洞的风险并不局限于单台边界设备，而可能影响后续的账号安全、内部系统访问和跨境远程办公稳定性。

事件要点：边界设备被攻破后的风险链条

NetScaler 常被部署在企业网络边界，用于负载均衡、应用交付、访问控制或远程入口。一旦此类设备被利用，攻击者可能绕过常规终端防护，直接在关键入口处建立持久化访问。来源摘要提到的 Web Shell 与隧道恶意软件，意味着攻击者可能通过受害设备持续执行命令、转发流量，甚至将其作为进入内网的跳板。

此次报道中提及的攻击动作包括获取 root 访问权限、窃取凭据以及向内部网络扩散。对企业来说，这通常意味着风险从“设备漏洞”升级为“身份与网络信任体系被破坏”。如果网关上保存了会话、配置、证书或与认证系统相关的信息，攻击者可能进一步尝试访问邮件、协作平台、代码仓库、支付后台或云管理控制台。

• Web Shell：可让攻击者在被入侵设备上远程执行操作，形成隐蔽后门。
• 隧道型恶意软件：可能用于转发内网流量，绕开外部访问限制。
• 凭据窃取：被盗账号可能被用于登录更多业务系统。
• 内网扩散：攻击面可能从边界设备延伸到内部服务器与办公系统。

对跨境用户、远程办公与账号安全的影响

从跨境网络使用场景看，很多企业会通过网关设备为海外员工、外包团队、分支机构或远程运维人员提供访问入口。如果 NetScaler 作为远程访问链路的一部分被攻破，用户可能遇到的不只是连接异常，还包括账号被异常登录、内部系统被非授权访问、业务后台会话被滥用等问题。

对运营海外平台账号的团队而言，风险尤其需要关注。攻击者一旦拿到企业内部凭据，可能尝试访问广告平台、店铺后台、收款与支付管理页面、域名和云服务控制台。部分平台对登录地点、设备指纹、网络环境和行为模式较敏感，若攻击者通过受害企业网络或异常隧道发起登录，可能触发风控、冻结或二次验证，影响正常运营。

支付通道方面，如果内部财务系统、结算后台或 API 密钥管理平台与受影响网络相连，凭据泄露可能带来更高风险。跨境收款、订阅服务、广告充值和企业 SaaS 账单通常依赖多个账号协同管理，任何一个高权限入口被滥用，都可能造成连锁影响。

建议排查：不仅要修设备，也要查账号与访问痕迹

对于使用 Citrix NetScaler 的组织，建议以应急事件而非普通漏洞修复来处理。由于来源显示攻击者可能已部署后门并获取高权限，单纯更新版本并不一定能清除已存在的入侵痕迹。企业应结合设备日志、认证日志、VPN 或零信任访问记录、内部横向连接记录进行关联分析。

跨境团队还应检查近期海外登录、管理员账号操作、支付后台变更、API Token 创建与云资源访问情况。若发现异常登录地、异常时间段访问、陌生设备或突然新增的转发规则，应及时重置相关凭据并收紧权限。对远程办公人员来说，临时更换访问线路或使用 VPN 只能改善连接路径，不能替代漏洞修复、日志审计和账号加固。

总体来看，这起事件再次说明，边界网关设备已成为攻击者获取企业内部访问权的重要目标。对于有跨境业务、远程团队和多平台账号资产的公司，应把网络入口安全、身份安全和支付后台权限管理放在同一套风险框架下处理，避免一次设备漏洞演变为长期账号与资金风险。