思杰 (Citrix) 去年 12 月中旬曝出的 “超级漏洞” 威胁着超过 8 万家企业的网络安全，然而三周过去了，这个极度危险的漏洞依然没有补丁可用。

该漏洞 (CVE-2019-19781) 于 12 月中旬被发现，受影响的产品包括 Citrix 应用程序交付控制器 (ADC) 和网关产品。这个漏洞使得未经身份验证的远程攻击者可以在易受攻击的网关上执行恶意代码。

作为回应，Citrix 仅向客户提供了有关如何减轻安全漏洞影响的建议，而没有提供更全面的补丁程序！

在 12 月 17 日发布的安全建议中，思杰表示正在开发固件的升级版本，但并未给出发布时间承诺。

在思杰发布安全建议后不久，安全供应商 Positive Technologies (PT) 对漏洞进行分析后指出，至少有 8 万家企业面临被攻击的风险。

PT 警告说，该漏洞为攻击者提供了一种现成的机制，可以轻易获得使用漏洞产品的公司内部网络的访问权限。

PT 在 12 月 23 日发布的帖子中表示，任何未经授权的攻击者不仅可以访问已发布的应用程序，还可以从 Citrix 服务器攻击公司内部网络的其他资源。

Tripwire 漏洞和暴露研究小组 (VERT) 的计算机安全研究员 Craig Young 在最近的博客文章中进一步跟踪调查了思杰漏洞的修复情况，他估计，在思杰发布漏洞缓解建议大约三周之后，只有不到三分之一的受影响产品，包括 Citrix ADC (NetScaler ACD) 和 VPN 门户实施了缓解措施。

Young 使用 Shodan 扫描的 58,620 个 IP 中，有 39,378 个依然没有修复或者缓解漏洞。Young 强烈建议所有使用 NetScaler/ADC 的企业立即应用缓解措施。

这并不是一个特别难以利用的漏洞，几乎不可避免会有人针对目标进行利用。

思杰提供的缓解措施也受到了质疑。

安全研究人员凯文·博蒙特 (Kevin Beaumont) 在 Twitter 上吐槽说：没有补丁，只能手动缓解，这可能会影响功能。

另外，安全研究人员警告说，网络上正在大规模扫描该漏洞（扫描smb.conf），至少其中一部分扫描来自已知的恶意 IP 地址。

这表明如果这些扫描来自恶意源，而且进行扫描的人员可能还不了解该漏洞。

如果攻击者掌握了该漏洞，将会有成千上万的Citrix NetScaler / ADC被加入僵尸网络或被投入勒索软件。

最要命的是，一个完善的补丁依然遥遥无期。