Citrix ได้ออกแพตช์อัปเดตฉุกเฉินสำหรับช่องโหว่ Denial-of-Service รายการใหม่บน NetScaler ภายใต้หมายเลข CVE-2026-88779 ซึ่งกำลังถูกนำไปใช้ในการโจมตีแบบ Zero-day แล้ว โดยนักวิจัยกำลังอยู่ระหว่างการตรวจสอบว่าช่องโหว่นี้สามารถถูกนำไปใช้เพื่อการรันโค้ดที่เป็นอันตรายจากระยะไกล (Remote Code Execution) ได้ด้วยหรือไม่

ช่องโหว่ดังกล่าวเป็นช่องโหว่ประเภท Memory Buffer ซึ่งส่งผลกระทบต่ออุปกรณ์ NetScaler ADC และ NetScaler Gateway ที่เปิดใช้งานการยืนยันตัวตนแบบ SAML ร่วมกับฟังก์ชัน Gateway หรือ AAA

คำแนะนำด้านความปลอดภัยของ Citrix ระบุว่า ช่องโหว่นี้มีระดับความรุนแรงตามคะแนน CVSS อยู่ที่ 8.7 และได้ถูกนำไปใช้ในการโจมตีแบบมุ่งเป้าไปยังระบบ NetScaler ที่ยังไม่ได้แพตช์แก้ไข ส่งผลให้เกิดสภาวะ Denial-of-Service

Citrix ระบุในบล็อกโพสต์ที่เผยแพร่ออกมาว่า "Citrix ได้ตรวจพบการโจมตีแบบมุ่งเป้าไปยังระบบ NetScaler ที่ยังไม่ได้รับการแก้ไขช่องโหว่ ซึ่งสามารถนำไปสู่สภาวะ Denial of Service ได้"

"หากมีการทำให้เกิดสภาวะดังกล่าวซ้ำ ๆ Service อาจจะไม่สามารถใช้งานได้อย่างต่อเนื่อง จากการวิเคราะห์แสดงให้เห็นว่า ช่องโหว่นี้ส่งผลกระทบต่อความพร้อมใช้งาน (Availability) ของ Service เท่านั้น และเรายังไม่พบผลกระทบต่อความสมบูรณ์ (Integrity) ของข้อมูลลูกค้าแต่อย่างใด"

ในช่วงเช้าของวันอาทิตย์ที่ผ่านมา Citrix ได้ปล่อยอัปเดต NetScaler ADC และ NetScaler Gateway เวอร์ชัน 14.1-73.41 และ 13.1-64.28 เพื่อแก้ไขช่องโหว่ zero-day CVE-2026-88779 นี้

สำหรับระบบที่ใช้งานแบบ FIPS ลูกค้าควรอัปเกรดเป็นเวอร์ชัน 14.1-73.41 FIPS ส่วนลูกค้าที่ใช้งาน NetScaler ADC FIPS และ NDcPP บน 13.1 Branch ควรติดตั้งอัปเดตเวอร์ชัน 13.1-37.282

นอกจากนี้ Citrix ยังได้จัดเตรียม Global Deny Lists เพื่อใช้บล็อกการเข้าถึงจาก IP addresses ที่เป็นอันตราย อย่างไรก็ตาม บริษัทแนะนำให้ลูกค้าทำการติดตั้งอัปเดตความปลอดภัยล่าสุดที่เพิ่งปล่อยออกมาโดยเร็วที่สุด

ทางบริษัทระบุว่า องค์กรต่าง ๆ สามารถตรวจสอบว่าอุปกรณ์ของตนมีช่องโหว่ดังกล่าวหรือไม่ โดยให้ตรวจสอบว่ามีการตั้งค่าการยืนยันตัวตนแบบ SAML ไว้หรือไม่ ดังนี้

อุปกรณ์ที่ถูกตั้งค่าเป็น SAML SP
add authentication samlAction

หรือ

อุปกรณ์ที่ถูกตั้งค่าเป็น SAML IdP
add authentication samlIdPProfile

องค์กรต่าง ๆ ที่เพิ่งอัปเกรดอุปกรณ์ NetScaler เพื่อแก้ไขช่องโหว่ 2 รายการที่กำลังถูกนำไปใช้ในการโจมตีอยู่ขณะนี้ จะต้องทำการอัปเกรดอุปกรณ์อีกครั้งเพื่อแก้ไขช่องโหว่นี้

Citrix แจ้งเตือนว่า "หากได้อัปเกรดระบบ NetScaler ด้วยซอฟต์แวร์เวอร์ชันอัปเดตที่ระบุไว้ในประกาศด้านความปลอดภัยสำหรับ CVE 2026-88771 ถึง CVE 2026-88778 และหากตรวจสอบพบว่าระบบ NetScaler ตรงตามเงื่อนไขที่ระบุไว้ข้างต้น โปรดทำการอัปเกรดระบบอีกครั้ง"

นักวิจัยกำลังตรวจสอบความเป็นไปได้ในการรันโค้ด

แม้ว่า Citrix จะอธิบายว่า CVE-2026-88779 เป็นช่องโหว่ประเภท Denial-of-Service แต่ผู้ดูแลระบบ NetScaler และนักวิจัยด้านความปลอดภัยทางไซเบอร์กลับพบกิจกรรมที่แสดงให้เห็นว่าช่องโหว่นี้สามารถถูกนำไปใช้เพื่อการรันโค้ดที่เป็นอันตรายจากระยะไกล (Remote Code Execution) ได้

การโจมตีครั้งใหม่นี้ได้รับรายงานครั้งแรกเมื่อวันศุกร์ที่ผ่านมา หลังจากผู้ดูแลระบบ NetScaler รายงานว่า อุปกรณ์ที่เพิ่งได้รับการแพตช์มีอาการ Reboot ตัวเองโดยไม่คาดคิด

ในกระทู้บน Reddit ผู้ดูแลระบบ NetScaler รายหนึ่งระบุว่า ลูกค้าหลายรายที่ใช้งาน NetScaler เวอร์ชัน 14.1-73.37 กำลังประสบปัญหากับการถูกบังคับ Reboot ซ้ำ ๆ แม้ว่าจะติดตั้งอัปเดตความปลอดภัยล่าสุดที่มีในขณะนั้นแล้วก็ตาม

ผู้ดูแลระบบรายอื่น ๆ ก็ได้รายงานพฤติกรรมที่คล้ายคลึงกันอย่างรวดเร็ว ซึ่งรวมถึงบนอุปกรณ์ที่ถูกติดตั้งระบบใหม่จาก Image ต้นฉบับด้วย กระทู้ Reddit อีกกระทู้หนึ่งระบุว่าโปรเซส nsaaad เกิดการ Crashing ซ้ำ ๆ จนกระทั่งโปรเซส Pitboss ของ NetScaler ทำงานถึงขีดจำกัดการ Restart และส่งผลให้อุปกรณ์ทำการ Reboot ในที่สุด

ในตอนแรกยังไม่เป็นที่แน่ชัดว่า เครื่องมือสแกนหาช่องโหว่เป็นตัวกระตุ้นให้เกิด Bug ใน Firmware ที่เพิ่งปล่อยออกมา หรือผู้โจมตีกำลังใช้ประโยชน์จากช่องโหว่ใหม่บนอุปกรณ์ NetScaler กันแน่

อย่างไรก็ตาม ผู้ดูแลระบบรายหนึ่งที่กำลังตรวจสอบเหตุการณ์เหล่านี้บนอุปกรณ์ NetScaler เวอร์ชัน 14.1-73.37 พบว่ามีการสร้าง Usernames สำหรับการยืนยันตัวตนที่แฝงคำสั่ง Shell ซึ่งทำหน้าที่ดาวน์โหลด Payload จาก IP address : 213.209.159[.]55 นำมาบันทึกเป็นไฟล์ชื่อ /v และทำการรันไฟล์ดังกล่าว

ตามที่ผู้ดูแลระบบระบุว่า Requests เหล่านี้ปรากฏขึ้นทันทีก่อนที่จะเกิดเหตุการณ์โปรเซส nsaaad crash ที่ได้รับการยืนยันจำนวน 3 ครั้งบนอุปกรณ์เครื่องหนึ่ง และมุ่งเป้าโจมตีไปที่ SAML authentication factors หลายรูปแบบ

ผู้ดูแลระบบยังเน้นย้ำว่า แม้ข้อมูลใน Logs จะแสดงให้เห็นถึงความพยายามในการนำช่องโหว่ไปใช้ และเหตุการณ์ Crashes ที่เกี่ยวข้องกัน แต่ก็ไม่ได้เป็นการยืนยันว่าคำสั่งเหล่านั้นถูกรันสำเร็จแต่อย่างใด

ผู้ดูแลระบบรายอื่น ๆ ได้รายงานถึงรูปแบบการ Crash ของโปรเซส nsaaad และ Pitboss ในลักษณะเดียวกัน ซึ่งรวมถึงบนระบบที่ได้รับการอัปเกรดเป็นเวอร์ชัน 14.1-73.37 แล้วด้วย

ในขณะที่ผู้ดูแลระบบยังคงดำเนินการตรวจสอบเหตุการณ์ Crashes ดังกล่าวอย่างต่อเนื่อง เมื่อวันศุกร์ที่ผ่านมา Citrix ได้เผยแพร่ประกาศด้านความปลอดภัยโดยระบุว่า ทีมวิศวกร และทีมสนับสนุนของบริษัทกำลังติดตามช่องโหว่ใหม่ที่เพิ่งพบ ซึ่งเกี่ยวข้องกับการยืนยันตัวตนแบบ SAML ในระบบ NetScaler ที่ลูกค้าเป็นผู้ดูแล

ทางบริษัทระบุว่ารูปแบบการตั้งค่าที่ได้รับผลกระทบ จะมีการตั้งค่า authentication samlAction หรือ authentication samlIdPProfile รวมอยู่ด้วยอย่างใดอย่างหนึ่ง และแนะนำให้ลูกค้าที่ประสบปัญหาดังกล่าวติดต่อฝ่ายสนับสนุนของ Citrix

นอกจากนี้ Citrix ยังยืนยันด้วยว่าช่องโหว่ดังกล่าวเป็นคนละช่องโหว่กับช่องโหว่ของ NetScaler ที่เคยเปิดเผยไปก่อนหน้านี้

Kevin Beaumont ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ ยังได้รายงานด้วยว่า ระบบ Honeypot ของ NetScaler เวอร์ชัน 13.1 และ 14.1 ที่ได้รับการแพตช์แล้ว เกิดการ Crashing หลังจากได้รับ Requests จาก IP addresses ต้นทางหลายแห่ง โดยเขาอธิบายว่ากิจกรรมดังกล่าวน่าจะเป็นช่องโหว่สไตล์ "PitScaler" อีกตัวหนึ่ง

ในเวลาต่อมา เขาระบุว่ากิจกรรมดังกล่าวน่าจะมีอะไรที่ร้ายแรงกว่าแค่การโจมตีแบบ Denial-of-Service หลังจากที่เขาพบว่าหนึ่งใน Honeypot ที่ได้รับการแพตช์แล้วของเขากำลังรันมัลแวร์ Payload ที่ถูกดาวน์โหลดมา

Beaumont ระบุว่า "บนหนึ่งในระบบ Honeypot ของเรามีการรันไฟล์ Binary มัลแวร์ที่ถูกดาวน์โหลดมา ทั้งสองระบบได้รับการแพตช์แล้ว ดังนั้นนี่จึงเป็นช่องโหว่ใหม่"

"มันกำลังถูกโจมตีแบบ Spray and pray หนึ่งในระบบ Honeypot ไม่มีแม้กระทั่ง SSL certificate ที่ถูกต้องด้วยซ้ำ เพราะได้ปล่อยให้มันหมดอายุไปแล้ว"

Beaumont ยังระบุอีกว่า CVE-2026-88779 ถูกอธิบายว่าเป็น "ช่องโหว่ Memory Overflow ที่นำไปสู่สภาวะ Denial of Service" ซึ่งคล้ายคลึงกับกรณีช่องโหว่ CVE-2025-6543 ที่เคยเปิดเผยออกมาก่อนหน้านี้ ซึ่งในตอนแรกก็ถูกระบุลักษณะไว้แบบเดียวกัน ก่อนที่การโจมตีในเวลาต่อมาจะแสดงให้เห็นว่ามันสามารถถูกนำไปใช้เพื่อรันโค้ดที่เป็นอันตรายจากระยะไกลได้

watchTowr Labs บริษัท Cybersecurity ยังได้ออกมายืนยันว่าพวกเขาสามารถจำลองการทำงาน (Reproduce) ของช่องโหว่นี้ได้สำเร็จ หลังจากที่ได้เริ่มตรวจสอบรายงานเกี่ยวกับกิจกรรมบนระบบ Honeypot ของ NetScaler

อย่างไรก็ตาม นักวิจัยยังไม่ได้เปิดเผยรายละเอียดทางเทคนิคเกี่ยวกับวิธีการที่พวกเขาสามารถจำลองช่องโหว่ดังกล่าวได้

เมื่อวันอาทิตย์ที่ผ่านมา CISA ได้เพิ่มหมายเลข CVE-2026-88779 ลงใน Catalog KEV ซึ่งเป็นการยืนยันว่าช่องโหว่นี้กำลังถูกนำไปใช้ในการโจมตีจริง พร้อมทั้งกำหนดให้หน่วยงาน FCEB ดำเนินการแก้ไขเพื่อลดผลกระทบภายในวันที่ 7 ตุลาคม

ที่มา : bleepingcomputer.

Microsoft ได้เปิดเผยช่องโหว่ด้านความปลอดภัยที่สำคัญใน SharePoint Server ซึ่งอาจอนุญาตให้ผู้โจมตีที่ผ่านการยืนยันตัวตนสามารถเรียกใช้โค้ดที่ต้องการจากระยะไกลได้ในหลายเวอร์ชันของแพลตฟอร์ม (more…)

พบช่องโหว่ใหม่ใน NGINX JavaScript (njs) หมายเลข CVE-2026-8711 ซึ่งทำให้ผู้โจมตีจากภายนอก ที่ไม่จำเป็นต้องผ่านการยืนยันตัวตน สามารถทำให้เกิด buffer overflow ประเภท Heap-based ได้ ซึ่งอาจส่งผลให้ระบบหยุดทำงาน และในบางกรณี อาจนำไปสู่การโจมตีแบบ Remote Code Execution (RCE) ในกระบวนการทำงานของ NGINX worker process ได้

(more…)

Google ได้แก้ไขช่องโหว่ด้านความปลอดภัยระดับ Critical ใน Gemini CLI ซึ่งทำให้ผู้โจมตีสามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้ใน Automated workflows บางอย่างได้

(more…)

ในช่วงต้นเดือนมีนาคม GitHub ได้ทำการออกแพตช์แก้ไขช่องโหว่ Remote Code Execution ระดับ Critical หมายเลข CVE-2026-3854 ซึ่งอาจทำให้ผู้โจมตีสามารถเข้าถึง Private Repositories หลายล้านรายการได้

ช่องโหว่ดังกล่าวถูกรายงานเมื่อวันที่ 4 มีนาคม 2026 โดยนักวิจัยจากบริษัทรักษาความปลอดภัยทางไซเบอร์ Wiz ผ่านโครงการ Bug Bounty ของ GitHub ทางด้าน Alexis Wales ประธานเจ้าหน้าที่ฝ่ายรักษาความปลอดภัยข้อมูลของ GitHub ระบุว่า ทีมรักษาความปลอดภัยของบริษัทสามารถจำลองปัญหา และยืนยันช่องโหว่นี้ได้ภายใน 40 นาที พร้อมทั้งออกแพตช์แก้ไขช่องโหว่ดังกล่าวบนแพลตฟอร์ม GitHub.

มีการเผยแพร่ Proof-of-Concept (PoC) สำหรับใช้ในการโจมตีช่องโหว่ประเภท Remote Code Execution (RCE) ซึ่งมีความรุนแรงระดับ Critical ใน protobuf.

Microsoft ออก Patch Tuesday ประจำเดือนเมษายน 2026 โดยแก้ไขช่องโหว่ 167 รายการ ซึ่งรวมถึงช่องโหว่ Zero-Days ที่กำลังถูกใช้ในการโจมตี 1 รายการ และช่องโหว่ Zero-Days ที่ถูกเปิดเผยรายละเอียดออกสู่สาธารณะแล้ว 1 รายการ

(more…)

CISA ให้เวลาหน่วยงานรัฐบาลสหรัฐฯ 4 วันในการแก้ไขช่องโหว่ด้านความปลอดภัยระดับ Critical ใน Ivanti Endpoint Manager Mobile (EPMM) ซึ่งกำลังถูกใช้ในการโจมตีมาตั้งแต่เดือนมกราคม 2026

CVE-2026-1340 (คะแนน CVSS 9.8/10 ความรุนแรงระดับ Critical) เป็นช่องโหว่ Remote Code Execution (RCE) ที่ทำให้ Hacker ที่ไม่มีสิทธิ์เข้าถึงระบบสามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลบนอุปกรณ์ EPMM ที่มีช่องโหว่ และเชื่อมต่อกับอินเทอร์เน็ต

เมื่อวันที่ 29 มกราคม 2026 ทาง Ivanti ได้เผยแพร่ช่องโหว่ CVE-2026-1340 และ CVE-2026-1281(ช่องโหว่อีกรายการหนึ่ง) โดยแจ้งว่าช่องโหว่เหล่านี้กำลังถูกนำไปใช้โจมตีในรูปแบบ Zero-day แล้ว พร้อมทั้งแจ้งเตือนให้เร่งทำการอัปเดตระบบเพื่อป้องกันการโจมตีช่องโหว่

Shadowserver กลุ่มเฝ้าระวังความปลอดภัยทางอินเทอร์เน็ต ได้ติดตาม IP address เกือบ 950 รายการ ที่มีการใช้งาน Ivanti EPMM และเชื่อมต่อกับอินเทอร์เน็ต โดยส่วนใหญ่มาจากยุโรป 569 รายการ และอเมริกาเหนือ 206 รายการ อย่างไรก็ตาม ไม่มีข้อมูลว่ามีการแก้ไขช่องโหว่ไปแล้วกี่รายการ

หน่วยงานความมั่นคงทางไซเบอร์ และโครงสร้างพื้นฐานของสหรัฐฯ (CISA) ได้เพิ่มช่องโหว่นี้ลงในรายการช่องโหว่ที่กำลังถูกใช้ในการโจมตีหรือ Known Exploited Vulnerabilities (KEV) แล้ว และสั่งให้หน่วยงานในสังกัดฝ่ายบริหารพลเรือนของรัฐบาลกลาง (FCEB) แก้ไขระบบ EPMM ภายในเที่ยงคืนวันเสาร์ที่ 11 เมษายน 2026 ตามที่กำหนดไว้ในคำสั่งปฏิบัติการผูกพัน (BOD) 22-01ที่เกี่ยวข้องสำหรับบริการคลาวด์ หรือหยุดใช้ผลิตภัณฑ์หากไม่มีมาตรการลดผลกระทบ

ช่องโหว่อื่น ๆ ของ Ivanti อีกหลายรายการเคยถูกใช้โจมตีในช่วงไม่กี่ปีที่ผ่านมา ผ่านการโจมตีแบบ Zero-Day เพื่อเจาะระบบเป้าหมายที่หลากหลาย รวมถึงหน่วยงานรัฐบาลทั่วโลก

โดยรวมแล้ว CISA ได้ระบุช่องโหว่ของ Ivanti จำนวน 33 รายการที่เคยถูกใช้ในการโจมตี ซึ่งช่องโหว่ Ivanti 12 รายการถูกใช้โดยกลุ่ม Ransomware ต่าง ๆ

Ivanti ให้บริการผลิตภัณฑ์บริหารจัดการสินทรัพย์ไอทีแก่ลูกค้ากว่า 40,000 ราย ผ่านเครือข่ายพันธมิตรมากกว่า 7,000 รายทั่วโลก

 

ที่มา : bleepingcomputer.

กลุ่มแฮ็กเกอร์กำลังมุ่งเป้าโจมตีไปที่กลุ่มนักพัฒนาซอฟแวร์ โดยใช้การสมัครงานเป็นเหยื่อล่อ โดยจะสร้าง Malicious Repository ที่ปลอมเป็นโปรเจกต์ Next.

SolarWinds ออกอัปเดตแพตซ์เพื่อแก้ไขช่องโหว่ด้านความปลอดภัยระดับ Critical 4 รายการในซอฟต์แวร์ Serv-U file transfer โดยช่องโหว่เหล่านี้อาจทำให้ผู้โจมตีสามารถรันโค้ดที่เป็นอันตรายจากระยะไกล (remote code execution) ได้ หากการโจมตีประสบความสำเร็จ (more…)