Citrix ได้ออกแพตช์อัปเดตฉุกเฉินสำหรับช่องโหว่ Denial-of-Service รายการใหม่บน NetScaler ภายใต้หมายเลข CVE-2026-88779 ซึ่งกำลังถูกนำไปใช้ในการโจมตีแบบ Zero-day แล้ว โดยนักวิจัยกำลังอยู่ระหว่างการตรวจสอบว่าช่องโหว่นี้สามารถถูกนำไปใช้เพื่อการรันโค้ดที่เป็นอันตรายจากระยะไกล (Remote Code Execution) ได้ด้วยหรือไม่

ช่องโหว่ดังกล่าวเป็นช่องโหว่ประเภท Memory Buffer ซึ่งส่งผลกระทบต่ออุปกรณ์ NetScaler ADC และ NetScaler Gateway ที่เปิดใช้งานการยืนยันตัวตนแบบ SAML ร่วมกับฟังก์ชัน Gateway หรือ AAA

คำแนะนำด้านความปลอดภัยของ Citrix ระบุว่า ช่องโหว่นี้มีระดับความรุนแรงตามคะแนน CVSS อยู่ที่ 8.7 และได้ถูกนำไปใช้ในการโจมตีแบบมุ่งเป้าไปยังระบบ NetScaler ที่ยังไม่ได้แพตช์แก้ไข ส่งผลให้เกิดสภาวะ Denial-of-Service

Citrix ระบุในบล็อกโพสต์ที่เผยแพร่ออกมาว่า "Citrix ได้ตรวจพบการโจมตีแบบมุ่งเป้าไปยังระบบ NetScaler ที่ยังไม่ได้รับการแก้ไขช่องโหว่ ซึ่งสามารถนำไปสู่สภาวะ Denial of Service ได้"

"หากมีการทำให้เกิดสภาวะดังกล่าวซ้ำ ๆ Service อาจจะไม่สามารถใช้งานได้อย่างต่อเนื่อง จากการวิเคราะห์แสดงให้เห็นว่า ช่องโหว่นี้ส่งผลกระทบต่อความพร้อมใช้งาน (Availability) ของ Service เท่านั้น และเรายังไม่พบผลกระทบต่อความสมบูรณ์ (Integrity) ของข้อมูลลูกค้าแต่อย่างใด"

ในช่วงเช้าของวันอาทิตย์ที่ผ่านมา Citrix ได้ปล่อยอัปเดต NetScaler ADC และ NetScaler Gateway เวอร์ชัน 14.1-73.41 และ 13.1-64.28 เพื่อแก้ไขช่องโหว่ zero-day CVE-2026-88779 นี้

สำหรับระบบที่ใช้งานแบบ FIPS ลูกค้าควรอัปเกรดเป็นเวอร์ชัน 14.1-73.41 FIPS ส่วนลูกค้าที่ใช้งาน NetScaler ADC FIPS และ NDcPP บน 13.1 Branch ควรติดตั้งอัปเดตเวอร์ชัน 13.1-37.282

นอกจากนี้ Citrix ยังได้จัดเตรียม Global Deny Lists เพื่อใช้บล็อกการเข้าถึงจาก IP addresses ที่เป็นอันตราย อย่างไรก็ตาม บริษัทแนะนำให้ลูกค้าทำการติดตั้งอัปเดตความปลอดภัยล่าสุดที่เพิ่งปล่อยออกมาโดยเร็วที่สุด

ทางบริษัทระบุว่า องค์กรต่าง ๆ สามารถตรวจสอบว่าอุปกรณ์ของตนมีช่องโหว่ดังกล่าวหรือไม่ โดยให้ตรวจสอบว่ามีการตั้งค่าการยืนยันตัวตนแบบ SAML ไว้หรือไม่ ดังนี้

อุปกรณ์ที่ถูกตั้งค่าเป็น SAML SP
add authentication samlAction

หรือ

อุปกรณ์ที่ถูกตั้งค่าเป็น SAML IdP
add authentication samlIdPProfile

องค์กรต่าง ๆ ที่เพิ่งอัปเกรดอุปกรณ์ NetScaler เพื่อแก้ไขช่องโหว่ 2 รายการที่กำลังถูกนำไปใช้ในการโจมตีอยู่ขณะนี้ จะต้องทำการอัปเกรดอุปกรณ์อีกครั้งเพื่อแก้ไขช่องโหว่นี้

Citrix แจ้งเตือนว่า "หากได้อัปเกรดระบบ NetScaler ด้วยซอฟต์แวร์เวอร์ชันอัปเดตที่ระบุไว้ในประกาศด้านความปลอดภัยสำหรับ CVE 2026-88771 ถึง CVE 2026-88778 และหากตรวจสอบพบว่าระบบ NetScaler ตรงตามเงื่อนไขที่ระบุไว้ข้างต้น โปรดทำการอัปเกรดระบบอีกครั้ง"

นักวิจัยกำลังตรวจสอบความเป็นไปได้ในการรันโค้ด

แม้ว่า Citrix จะอธิบายว่า CVE-2026-88779 เป็นช่องโหว่ประเภท Denial-of-Service แต่ผู้ดูแลระบบ NetScaler และนักวิจัยด้านความปลอดภัยทางไซเบอร์กลับพบกิจกรรมที่แสดงให้เห็นว่าช่องโหว่นี้สามารถถูกนำไปใช้เพื่อการรันโค้ดที่เป็นอันตรายจากระยะไกล (Remote Code Execution) ได้

การโจมตีครั้งใหม่นี้ได้รับรายงานครั้งแรกเมื่อวันศุกร์ที่ผ่านมา หลังจากผู้ดูแลระบบ NetScaler รายงานว่า อุปกรณ์ที่เพิ่งได้รับการแพตช์มีอาการ Reboot ตัวเองโดยไม่คาดคิด

ในกระทู้บน Reddit ผู้ดูแลระบบ NetScaler รายหนึ่งระบุว่า ลูกค้าหลายรายที่ใช้งาน NetScaler เวอร์ชัน 14.1-73.37 กำลังประสบปัญหากับการถูกบังคับ Reboot ซ้ำ ๆ แม้ว่าจะติดตั้งอัปเดตความปลอดภัยล่าสุดที่มีในขณะนั้นแล้วก็ตาม

ผู้ดูแลระบบรายอื่น ๆ ก็ได้รายงานพฤติกรรมที่คล้ายคลึงกันอย่างรวดเร็ว ซึ่งรวมถึงบนอุปกรณ์ที่ถูกติดตั้งระบบใหม่จาก Image ต้นฉบับด้วย กระทู้ Reddit อีกกระทู้หนึ่งระบุว่าโปรเซส nsaaad เกิดการ Crashing ซ้ำ ๆ จนกระทั่งโปรเซส Pitboss ของ NetScaler ทำงานถึงขีดจำกัดการ Restart และส่งผลให้อุปกรณ์ทำการ Reboot ในที่สุด

ในตอนแรกยังไม่เป็นที่แน่ชัดว่า เครื่องมือสแกนหาช่องโหว่เป็นตัวกระตุ้นให้เกิด Bug ใน Firmware ที่เพิ่งปล่อยออกมา หรือผู้โจมตีกำลังใช้ประโยชน์จากช่องโหว่ใหม่บนอุปกรณ์ NetScaler กันแน่

อย่างไรก็ตาม ผู้ดูแลระบบรายหนึ่งที่กำลังตรวจสอบเหตุการณ์เหล่านี้บนอุปกรณ์ NetScaler เวอร์ชัน 14.1-73.37 พบว่ามีการสร้าง Usernames สำหรับการยืนยันตัวตนที่แฝงคำสั่ง Shell ซึ่งทำหน้าที่ดาวน์โหลด Payload จาก IP address : 213.209.159[.]55 นำมาบันทึกเป็นไฟล์ชื่อ /v และทำการรันไฟล์ดังกล่าว

ตามที่ผู้ดูแลระบบระบุว่า Requests เหล่านี้ปรากฏขึ้นทันทีก่อนที่จะเกิดเหตุการณ์โปรเซส nsaaad crash ที่ได้รับการยืนยันจำนวน 3 ครั้งบนอุปกรณ์เครื่องหนึ่ง และมุ่งเป้าโจมตีไปที่ SAML authentication factors หลายรูปแบบ

ผู้ดูแลระบบยังเน้นย้ำว่า แม้ข้อมูลใน Logs จะแสดงให้เห็นถึงความพยายามในการนำช่องโหว่ไปใช้ และเหตุการณ์ Crashes ที่เกี่ยวข้องกัน แต่ก็ไม่ได้เป็นการยืนยันว่าคำสั่งเหล่านั้นถูกรันสำเร็จแต่อย่างใด

ผู้ดูแลระบบรายอื่น ๆ ได้รายงานถึงรูปแบบการ Crash ของโปรเซส nsaaad และ Pitboss ในลักษณะเดียวกัน ซึ่งรวมถึงบนระบบที่ได้รับการอัปเกรดเป็นเวอร์ชัน 14.1-73.37 แล้วด้วย

ในขณะที่ผู้ดูแลระบบยังคงดำเนินการตรวจสอบเหตุการณ์ Crashes ดังกล่าวอย่างต่อเนื่อง เมื่อวันศุกร์ที่ผ่านมา Citrix ได้เผยแพร่ประกาศด้านความปลอดภัยโดยระบุว่า ทีมวิศวกร และทีมสนับสนุนของบริษัทกำลังติดตามช่องโหว่ใหม่ที่เพิ่งพบ ซึ่งเกี่ยวข้องกับการยืนยันตัวตนแบบ SAML ในระบบ NetScaler ที่ลูกค้าเป็นผู้ดูแล

ทางบริษัทระบุว่ารูปแบบการตั้งค่าที่ได้รับผลกระทบ จะมีการตั้งค่า authentication samlAction หรือ authentication samlIdPProfile รวมอยู่ด้วยอย่างใดอย่างหนึ่ง และแนะนำให้ลูกค้าที่ประสบปัญหาดังกล่าวติดต่อฝ่ายสนับสนุนของ Citrix

นอกจากนี้ Citrix ยังยืนยันด้วยว่าช่องโหว่ดังกล่าวเป็นคนละช่องโหว่กับช่องโหว่ของ NetScaler ที่เคยเปิดเผยไปก่อนหน้านี้

Kevin Beaumont ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ ยังได้รายงานด้วยว่า ระบบ Honeypot ของ NetScaler เวอร์ชัน 13.1 และ 14.1 ที่ได้รับการแพตช์แล้ว เกิดการ Crashing หลังจากได้รับ Requests จาก IP addresses ต้นทางหลายแห่ง โดยเขาอธิบายว่ากิจกรรมดังกล่าวน่าจะเป็นช่องโหว่สไตล์ "PitScaler" อีกตัวหนึ่ง

ในเวลาต่อมา เขาระบุว่ากิจกรรมดังกล่าวน่าจะมีอะไรที่ร้ายแรงกว่าแค่การโจมตีแบบ Denial-of-Service หลังจากที่เขาพบว่าหนึ่งใน Honeypot ที่ได้รับการแพตช์แล้วของเขากำลังรันมัลแวร์ Payload ที่ถูกดาวน์โหลดมา

Beaumont ระบุว่า "บนหนึ่งในระบบ Honeypot ของเรามีการรันไฟล์ Binary มัลแวร์ที่ถูกดาวน์โหลดมา ทั้งสองระบบได้รับการแพตช์แล้ว ดังนั้นนี่จึงเป็นช่องโหว่ใหม่"

"มันกำลังถูกโจมตีแบบ Spray and pray หนึ่งในระบบ Honeypot ไม่มีแม้กระทั่ง SSL certificate ที่ถูกต้องด้วยซ้ำ เพราะได้ปล่อยให้มันหมดอายุไปแล้ว"

Beaumont ยังระบุอีกว่า CVE-2026-88779 ถูกอธิบายว่าเป็น "ช่องโหว่ Memory Overflow ที่นำไปสู่สภาวะ Denial of Service" ซึ่งคล้ายคลึงกับกรณีช่องโหว่ CVE-2025-6543 ที่เคยเปิดเผยออกมาก่อนหน้านี้ ซึ่งในตอนแรกก็ถูกระบุลักษณะไว้แบบเดียวกัน ก่อนที่การโจมตีในเวลาต่อมาจะแสดงให้เห็นว่ามันสามารถถูกนำไปใช้เพื่อรันโค้ดที่เป็นอันตรายจากระยะไกลได้

watchTowr Labs บริษัท Cybersecurity ยังได้ออกมายืนยันว่าพวกเขาสามารถจำลองการทำงาน (Reproduce) ของช่องโหว่นี้ได้สำเร็จ หลังจากที่ได้เริ่มตรวจสอบรายงานเกี่ยวกับกิจกรรมบนระบบ Honeypot ของ NetScaler

อย่างไรก็ตาม นักวิจัยยังไม่ได้เปิดเผยรายละเอียดทางเทคนิคเกี่ยวกับวิธีการที่พวกเขาสามารถจำลองช่องโหว่ดังกล่าวได้

เมื่อวันอาทิตย์ที่ผ่านมา CISA ได้เพิ่มหมายเลข CVE-2026-88779 ลงใน Catalog KEV ซึ่งเป็นการยืนยันว่าช่องโหว่นี้กำลังถูกนำไปใช้ในการโจมตีจริง พร้อมทั้งกำหนดให้หน่วยงาน FCEB ดำเนินการแก้ไขเพื่อลดผลกระทบภายในวันที่ 7 ตุลาคม

ที่มา : bleepingcomputer.

 

Citrix ได้ยืนยันว่า ช่องโหว่ Remote Code Execution ระดับ Critical 2 รายการใน NetScaler ได้แก่ CVE-2026-88771 และ CVE-2026-88772 กำลังถูกนำไปใช้ในการโจมตี และได้ออกแพตช์อัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ดังกล่าวแล้ว (more…)

ผู้โจมตีได้เริ่มมุ่งเป้าการโจมตีไปที่ช่องโหว่ระดับ Critical ของ Citrix NetScaler ในสภาพแวดล้อมการใช้งานจริงแล้ว ตามรายงานของ Previdian บริษัทด้าน vulnerability intelligence (more…)

Citrix ออกแพตช์แก้ไขช่องโหว่ 2 รายการ ที่ส่งผลกระทบต่ออุปกรณ์เครือข่าย NetScaler ADC และ NetScaler Gateway secure remote access โดยหนึ่งในช่องโหว่นี้มีความคล้ายกับช่องโหว่ CitrixBleed และ CitrixBleed2 ที่เคยถูกนำมาใช้โจมตีแบบ Zero-day ในช่วงไม่กี่ปีที่ผ่านมา

(more…)

พบแคมเปญการสแกนช่องโหว่ ซึ่งมุ่งเป้าไปที่ Citrix NetScaler โดย Residential Proxy หลายหมื่นเครื่องเพื่อค้นหา Login Panel (more…)

กลุ่ม APT ได้ใช้ประโยชน์จากช่องโหว่ระดับ Critical ที่ถูกเรียกว่า “Citrix Bleed 2" (CVE-2025-5777) ใน NetScaler ADC และ Gateway และช่องโหว่ CVE-2025-20337 ที่ส่งผลกระทบต่อ Cisco Identity Service Engine (ISE) มาใช้ในการโจมตีในรูปแบบ zero-day เพื่อ (more…)

อุตสาหกรรมการก่อสร้างได้กลายเป็นเป้าหมายที่สร้างผลกำไรมหาศาลสำหรับกลุ่ม APT และเครือข่ายอาชญากรไซเบอร์ที่รวมตัวกันอย่างต่อเนื่อง ซึ่งมุ่งเป้าหาช่องทางการเข้าถึงระบบขององค์กรโดยไม่ได้รับอนุญาต (more…)

พบอุปกรณ์ Citrix instance กว่า 28,200 รายการ เสี่ยงต่อการถูกโจมตีจากช่องโหว่การเรียกใช้คำสั่งที่เป็นอันตรายจากระยะไกล (RCE) ระดับ Critical หมายเลข CVE-2025-7775 ที่กำลังถูกใช้ในการโจมตีอยู่ในปัจจุบัน

(more…)

Citrix ได้แก้ไขช่องโหว่จำนวน 3 รายการบน NetScaler ADC และ NetScaler Gateway ในวันนี้ (26 สิงหาคม 2025) รวมถึงช่องโหว่ระดับ Critical ที่นำไปสู่การรันโค้ดที่เป็นอันตรายจากระยะไกล (Remote Code Execution) ซึ่งมีหมายเลข CVE-2025-7775 และมีการโจมตีจริงในลักษณะ Zero-Day แล้ว

(more…)

ศูนย์ความมั่นคงปลอดภัยไซเบอร์แห่งชาติของเนเธอร์แลนด์ (NCSC-NL) ได้ออกคำเตือนเกี่ยวกับการโจมตีทางไซเบอร์ที่กำลังใช้ประโยชน์จากช่องโหว่ระดับ Critical ที่เพิ่งถูกเปิดเผยไม่นานนี้ ซึ่งส่งผลกระทบต่อผลิตภัณฑ์ Citrix NetScaler ADC และกำลังถูกใช้เพื่อโจมตีองค์กรต่าง ๆ ในประเทศ (more…)