資料保護平台業者 Kiteworks 與應用程式交付廠商 Citrix 在 9 月下旬的同一個週末，面對零時差漏洞威脅，卻採取截然不同的應變方式。Kiteworks 根據情資預警，於 9 月 25 日建議客戶將系統下線；Citrix 則於 9 月 27 日發布更新，修補旗下 NetScaler（應用交付與閘道設備）的 8 個漏洞，其中兩個零時差漏洞（
CVE-2026-88771、CVE-2026-88772）已遭實際利用後續調查顯示，其中一個漏洞最晚自 9 月初就已遭利用，Citrix 也於 10 月 3 日再揭露第三個漏洞。兩起事件引發資安界討論：廠商該不該要求客戶停機？
Kiteworks 資安長（CISO）Frank Balonis 在聲明中表示，要求客戶將正式環境下線，並非廠商會輕易做出的決定，但公司「明天也會做出同樣的決定」。執行長暨董事長 Jonathan Yaron 則說，業界慣例是等到攻擊獲得證實，公司寧可在收到可信警訊時主動採取行動，也不願等到攻擊獲得證實才發現為時已晚。
資安界評價兩極，停機成本成為焦點
資安訓練與滲透測試業者 Black Hills Information Security 負責人 John Strand 認為此舉出人意料。他指出，目前並非有人正遭到實際入侵，廠商卻要求客戶下線，自己從未聽過類似做法。他認為，Kiteworks 究竟是反應過度還是判斷正確，取決於修補程式的部署難度。
另一方面，許多資安社群人士批評 Citrix 的應對太少、太晚，質疑公司為何沒有更早分享攻擊情資。
資安曝險管理業者 Tenable 的資深研究工程師 Satnam Narang 指出，即使 Citrix 未發出停機建議，供應商與資安團隊仍引用政府警告，主動建議 NetScaler 管理者下線，「停機的討論在兩個案例都發生了，只是來源不同」。
Narang 也提醒，停機有其成本：關閉 VPN 會切斷遠距員工的連線，也可能讓客戶無法使用應用程式或存取資料。他認為，廠商若要求停機，須具體說明受影響的客戶與組態，以及預計停機時間。Kiteworks 關閉了自家代管的系統，並建議停機九小時；相較之下，未說明何時可恢復服務的「一律關機」要求，企業很難遵循。
GreyNoise 雖在 9 月 24 日偵測到針對 NetScaler 的活動，但研究人員起初並未將其連結到特定漏洞。該公司對手行動（adversary operations）資深副總裁 Andrew Thompson 表示，若早期預警來自可信來源，組織就應採取行動，但可接受的應變方式因組織而異。他也指出，即使下一個週末再面臨同樣的抉擇，目前仍沒有明確的應對策略可循。
防護建議
依 Citrix、Mandiant 與 GTIG 的建議，NetScaler 用戶可採取以下措施：
- 升級至修補版本：14.1 系列需升級至 14.1-73.41 以上，13.1 系列需升級至 13.1-64.28 以上，才能一併修補 CVE-2026-88779；FIPS 版本另有對應版號。
- 先評估是否已遭入侵：修補前保存證據，例如虛擬設備的記憶體快照，再使用 NetScaler Console 的入侵指標（IoC）偵測功能，或依 Mandiant 與 GTIG 的獵捕指引進行檢查。
- Citrix 強調，更新不會清除既有入侵痕跡，也無法證明設備先前未遭利用。若懷疑或確認遭入侵，應部署全新且已更新的實例，並在修補後撤銷作用中的連線階段、輪換設備憑證。
- 將設備日誌轉送至外部日誌或 SIEM 平台集中監控。
- 暫時緩解 CVE-2026-88772：在上游防火牆封鎖入站 UDP 443，並在不需要的閘道上關閉 DTLS。這項措施不涵蓋 CVE-2026-88771，仍須升級。
本文轉載自 DarkReading。