漏洞潛伏近一個月？拆解 Citrix 閘道器零時差攻擊手法，看駭客如何把惡意流量藏進正常連線

2026 年 9 月底至 10 月初，Citrix 針對旗下廣泛使用的網路閘道器 NetScaler ADC 與 NetScaler Gateway 接連修補了多項已遭實際利用的重大漏洞，包含 CVE-2026-88771、CVE-2026-88772 與 CVE-2026-88779，揭示駭客不再只依賴單一漏洞，而是將多個漏洞串連成一套精密的自動化入侵鏈。

攻擊者鎖定企業廣泛使用的 Citrix NetScaler ADC 與 NetScaler Gateway 閘道器，在官方尚未發布修補程式前便發動滲透，活動軌跡甚至可追溯至 9 月初，這起事件之所以引起資安圈高度關注，在於駭客展現了極高的隱蔽手法：攻擊者先在未通過身分驗證的情況下，利用能造成事件記錄中毒的遠端程式碼執行漏洞（CVE-2026-88771）預先注入惡意指令，接著刻意觸發另一個可讓 SAML 服務當機的漏洞（CVE-2026-88779），迫使設備反覆重新啟動，並趁著系統重開機後的錯誤處理程序執行惡意程式碼，最終取得設備最高管理權限（Root）。取得控制權後，駭客不僅在網頁資料夾植入多款客製化 PHP 網頁後門（WebShell），更竄改伺服器設定，將惡意程式偽裝成一般網頁用來調整版面的「CSS 樣式表」網址，甚至利用系統權限機制與排程設定建立長期存取管道，即使管理員重啟設備，後門依然能持續運作。

這起連環攻擊再次顯示，當邊界設備成為駭客的「內網跳板」，單靠傳統的定期修補與基礎監控，已難以察覺高度偽裝的深層潛伏威脅。

針對企業在邊界設備與外聯資產上的防護痛點，台灣威脅情資領導品牌，同時也是橙鋐科技代理品牌* TeamT5 杜浦數位安全在近期推出了新產品線 ThreatReveal 外聯威脅與曝光風險識別解決方案。不同於僅列出已知漏洞清單的傳統掃描工具，ThreatReveal 結合 TeamT5 原廠威脅研究團隊長年追蹤 APT 駭客組織的實戰情資，從攻擊者視角出發，協助企業在三個關鍵環節建立主動識別防線：

🚩外部曝露設備風險識別，全面掌握邊界資產狀態

企業在跨據點營運與遠端辦公趨勢下，常有 VPN 閘道器、連網設備或物聯網（IoT）裝置直接曝露於網際網路卻缺乏集中盤點，ThreatReveal 能主動探測並清查企業所有對外連通的邊界資產，協助資安團隊在第一時間掌握哪些設備正曝露於高風險之中，避免因資產管理死角而成為駭客發動漏洞串連的突破口。

🚩精準「入侵跡象識別（Sign of Compromise）」，揪出潛伏 WebShell

針對企業最擔憂的修補空窗期與重開機持續潛伏問題，ThreatReveal 具備深度的入侵跡象識別技術，無論設備是否已完成最新韌體修補，系統都能針對邊界設備進行深度檢測，精準識別設備內部是否已遭植入如 PHP WebShell 等客製化惡意後門程式，讓偽裝在網頁目錄中的潛伏威脅無所遁形。

🚩後門通訊與異常跡象識別，阻斷隱蔽 C2 連線與內網擴散

面對駭客將 C2 通訊偽裝於正常 HTTP 標頭或偽裝成一般網頁資源、並建立代理通道滲透內網的手法，ThreatReveal 結合原廠持續更新的威脅情資庫，能有效辨識後門通訊特徵與異常連線跡象，在駭客進一步偵察內部 AD 服務、竊取 SSL 私鑰與系統組態之前，協助資安團隊及早察覺異常並啟動應變處置。

透過「事前盤點曝露風險」搭配「事中檢測入侵跡象」，ThreatReveal 讓企業不再受限於漏洞修補的時間壓力，建立起更主動且具韌性的邊界防禦機制。