Citrix Windows 客户端缺陷使本地用户获得系统访问权限

Citrix 已经修复了两个 Windows 客户端漏洞，其中包括一个高严重性的权限升级漏洞，该漏洞可以让低权限的本地用户获得系统访问权限。

更严重的漏洞 CVE-2026-53565 影响适用于 Windows 的 Citrix Secure Access Client 和适用于 Windows 的 Citrix Endpoint Analysis 客户端。第二个缺陷 CVE-2026-53566 可能会在特定配置下暴露 Citrix Secure Access Client 中的敏感内存。

组织应将 Secure Access Client 更新至版本 26.6.1.20 或更高版本，并将 Endpoint Analysis Client 更新至版本 26.5.1.7 或更高版本。

Citrix 于 2026 年 7 月 14 日在安全公告 CTX696734 中披露了这些漏洞。该公司提供了解决这两个问题的更新客户端版本。

官方Citrix 安全公告将 CVE-2026-53565 识别为不正确的权限管理漏洞，将 CVE-2026-53566 识别为越界内存读取。

这两个漏洞都需要本地访问和低权限。它们的攻击复杂性较低，不需要用户交互，并且不依赖于受害者打开文件或批准提示。

CVE-2026-53565 授予系统权限

CVE-2026-53565 是由于权限管理不当造成的，分类为 CWE-269。已经具有本地访问权限的标准 Windows 用户可以利用该缺陷将权限提升到 SYSTEM。

这CVE-2026-53565 的国家漏洞数据库条目列出了 Citrix 分配的 CVSS 4.0 分数 8.5。 NIST 尚未添加自己的独立严重性评估。

CVSS 向量表明，利用该漏洞需要本地访问权限和低权限。它复杂度低，没有额外的攻击要求，也不需要用户交互。

成功的利用会对机密性、完整性和可用性产生重大影响。该缺陷不会直接影响其他系统，但系统访问权限使攻击者能够广泛控制受感染的 Windows 端点。

系统访问允许攻击者执行哪些操作

SYSTEM 代表 Windows 上最强大的安全上下文之一。它比典型的管理员帐户具有更广泛的本地权限，并运行许多核心操作系统服务。

到达 SYSTEM 的攻击者可能会：

• 访问受保护的文件和凭据
• 安装恶意软件或远程访问工具
• 修改安全和系统配置
• 禁用端点保护软件
• 创建持久服务或计划任务
• 监控设备上的其他用户
• 使用端点攻击连接的系统

该缺陷本身并不提供远程初始访问。攻击者必须首先通过其他方法获得本地立足点，例如窃取的凭据、恶意软件、物理访问或受损的标准用户帐户。

CVE-2026-53566 可能会暴露敏感内存

第二个漏洞 CVE-2026-53566 是一个越界读取，分类为 CWE-125。它仅影响适用于 Windows 的 Citrix Secure Access 客户端。

当软件访问其应处理区域之外的内存时，就会发生越界读取。这可能会将相邻内存位置的信息暴露给攻击者。

这CVE-2026-53566 的 NVD 记录列出了 Citrix 分配的 CVSS 4.0 分数 6.8。记录的影响涉及机密性，未列出对完整性或可用性的影响。

利用该漏洞需要标准的本地用户帐户并且无需用户交互。然而，仅当 Windows 系统上未安装 DNE 驱动程序时，才会存在该漏洞。

哪些 Citrix 版本受到影响？

这些漏洞影响修复版本之前发布的 Windows 客户端版本。 Citrix 尚未通过此通报确定 macOS 客户端中的同等暴露情况。

CVE-2026-53565 不需要 DNE 条件。因此，在安装更新之前，管理员应考虑运行旧版受影响客户端的每个受支持的 Windows 端点都容易受到攻击。

为什么 CVE-2026-53565 会带来企业风险

这CVE-2026-53565漏洞记录没有描述远程攻击路径。然而，本地权限提升漏洞通常支持多阶段攻击。

攻击者可能首先通过网络钓鱼、凭证盗窃、恶意软件或其他漏洞危害标准用户。然后，攻击者可以利用权限升级缺陷来获得对端点的更深入的控制。

组织应优先考虑许多用户具有本地访问权限或端点连接到敏感企业资源的系统。更高优先级的环境可能包括：

• 共享 Windows 工作站
• 虚拟桌面基础设施
• 承包商和第三方端点
• 自带设备部署
• 特权管理员工作站
• 可以访问敏感内部应用程序的系统

如何检查 CVE-2026-53566 的暴露情况

管理员应清点 Citrix Secure Access Client 安装并确定其安装版本。任何早于 26.6.1.20 的版本都需要更新。

团队评估CVE-2026-53566 曝光还必须确定 DNE 驱动程序是否存在。没有驱动程序的系统满足利用的记录配置要求。

DNE 检查应支持补丁优先级而不是替换更新。无论当前驱动程序配置如何，安装 Secure Access Client 26.6.1.20 或更高版本都可以解决该漏洞。

组织应如何应对

Citrix 客户应在变更管理程序允许的情况下尽快部署固定客户端版本。

1. 跨托管端点清点 Citrix Windows 客户端。
2. 识别早于 26.6.1.20 的安全访问客户端版本。
3. 识别 26.5.1.7 之前的 Endpoint Analysis 客户端版本。
4. 将修复版本部署到受影响的系统。
5. 安装后确认更新版本。
6. 在优先考虑 CVE-2026-53566 暴露时检查 DNE 驱动程序状态。
7. 限制无法立即接收更新的系统的本地访问。
8. 监视受影响的端点是否存在可疑的权限升级活动。

安全团队还应检查端点遥测，以发现意外的系统级进程、新创建的服务、计划任务、安全工具更改以及对受保护文件的异常访问。

尚未报告任何活跃的利用行为

当缺陷被披露时，公共漏洞记录并未识别出已知的利用情况。他们也没有列出公开的利用代码或将这些漏洞与已知的威胁组织联系起来。

缺乏观察到的利用并不能消除更新的需要。 Citrix 目前已经披露了受影响的产品、易受攻击的版本范围、攻击要求和影响，为研究人员和攻击者提供了用于进一步分析的有用信息。

组织应该专注于修补，而不是等待主动攻击的证据。除了对易受攻击的系统进行本地低权限访问之外，CVE-2026-53565 不需要任何特殊配置。

Citrix 赞扬 Pentraze 研究员

Cloud Software Group 称赞 Pentraze Cyber​​security 的 Carlos Garrido 发现并负责任地报告了这些漏洞。

协调披露使 Citrix 能够在公开发布技术信息之前准备更新的客户端版本。管理员可以在以下位置找到官方修复详细信息Citrix 公告 CTX696734.

客户应更新同时出现的两种产品。仅更新 Secure Access Client 无法保护单独的易受攻击的 Endpoint Analysis Client 安装免受 CVE-2026-53565 的影响。

FAQ