สรุปสั้น

บริษัท Citrix ประกาศออกแพตช์แก้ช่องโหว่ 2 รายการใน NetScaler ADC และ NetScaler Gateway เมื่อวันพุธที่ 19 สิงหาคม 2569 โดยรายการหนึ่งอยู่ในระดับวิกฤต ช่องโหว่ตัวนั้นคือ CVE-2026-19490 คะแนน CVSS 9.3 ซึ่งถูกอธิบายว่าเป็นการข้ามการยืนยันตัวตนโดยใช้เส้นทางทางเลือก และกระทบอุปกรณ์ NetScaler ที่ถูกตั้งค่าให้ทำหน้าที่เป็นเกตเวย์ ไม่ว่าจะเป็น SSL VPN, ICA Proxy, CVPN หรือ RDP Proxy รวมถึงเครื่องที่ตั้งเป็น AAA virtual server บริษัท Rapid7 ระบุว่าช่องโหว่นี้ผู้โจมตีจากระยะไกลที่ไม่ได้ล็อกอินสามารถใช้ได้โดยไม่ต้องอาศัยปฏิสัมพันธ์จากผู้ใช้เลย

อีกรายการคือ CVE-2026-19489 คะแนน CVSS 8.8 ซึ่งเป็นปัญหาหน่วยความจำล้นระดับความรุนแรงสูง ที่อาจทำให้เกิดพฤติกรรมผิดปกติหรือการปฏิเสธการให้บริการเมื่อเปิดใช้ SIP ALG ในการตั้งค่ากลุ่ม LSN ทั้งสองรายการถูกแก้ไขในเวอร์ชันเดียวกัน ขณะที่ Rapid7 ระบุว่ายังไม่มีตัวชี้ว่าผู้ก่อภัยคุกคามกำลังใช้ช่องโหว่ข้ามการยืนยันตัวตนตัวนี้โจมตีอยู่ แต่คาดว่าจะเกิดขึ้นในไม่ช้า และแนะนำให้องค์กรจัดการแพตช์ในฐานะงานฉุกเฉิน เว็บไซต์ Cloud Thunder เคยรายงานกรณีที่ช่องโหว่ใน Citrix NetScaler ถูกนำไปใช้โจมตีจริงไว้แล้วที่ 2026/08/031

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 20 สิงหาคม 2569 ว่า Citrix ได้ประกาศแพตช์สำหรับช่องโหว่ทั้งสองรายการ พร้อมเผยแพร่ประกาศความปลอดภัยที่ระบุรายการเวอร์ชันที่ได้รับผลกระทบไว้อย่างละเอียด

ตามประกาศของ Citrix ช่องโหว่วิกฤตกระทบ NetScaler ADC และ NetScaler Gateway เวอร์ชัน 14.1-43.56 ขึ้นไป, 14.1-66.68-FIPS ขึ้นไป, 14.1-43.55 ลงมา, 13.1-61.28 ขึ้นไป, 13.1-61.27 ลงมา และ 13.1 FIPS ส่วนเวอร์ชันที่มีตัวแก้แล้วทั้งช่องโหว่นี้และ CVE-2026-19489 ได้แก่ NetScaler ADC และ Gateway เวอร์ชัน 14.1-73.32, 13.1-63.21, 14.1-73.32 FIPS รวมถึง 13.1-FIPS และ 13.1-NDcPP 13.1-37.277

Citrix ยังเตือนเพิ่มเติมว่า “การติดตั้งแบบ Secure Private Access Hybrid ที่ใช้อินสแตนซ์ NetScaler ก็ได้รับผลกระทบจากช่องโหว่เหล่านี้ด้วย ลูกค้าจำเป็นต้องอัปเกรดอินสแตนซ์ NetScaler เหล่านั้นไปยังบิลด์ที่แนะนำเพื่อแก้ไขช่องโหว่” ซึ่งเป็นจุดที่องค์กรมักมองข้าม เพราะไม่ได้นับอินสแตนซ์ที่อยู่ภายใต้บริการอื่นเข้าไปในบัญชีทรัพย์สินที่ต้องแพตช์

รายงานของเว็บไซต์ The Hacker News เมื่อวันที่ 20 สิงหาคม 2569 ให้รายละเอียดเพิ่มเติมในจุดที่ประกาศฉบับแรกไม่ได้ระบุ โดยชี้ว่าช่องโหว่ทั้งสองรายการกระทบ NetScaler ADC และ NetScaler Gateway ที่ลูกค้าบริหารจัดการเอง รวมถึงบิลด์ FIPS และ NDcPP บางรุ่น ตลอดจนการติดตั้งแบบ SecurAccess ZTNA Hybrid ที่ใช้อินสแตนซ์ NetScaler ซึ่งลูกค้าดูแลเอง ในทางกลับกัน ช่องโหว่เหล่านี้ไม่ได้กระทบบริการคลาวด์ที่ Citrix บริหารจัดการเอง และไม่กระทบ Citrix-managed Adaptive Authentication เนื่องจากอัปเดตที่จำเป็นถูกติดตั้งให้เรียบร้อยแล้ว

รายงานฉบับเดียวกันยังระบุคะแนน CVSS ของ CVE-2026-19489 ไว้ที่ 8.8 และเปิดเผยว่า Citrix ให้เครดิตแก่นาย Samarth Vashisht จากทีมทดสอบเจาะระบบของธนาคาร JPMorgan Chase ในฐานะผู้ค้นพบและรายงานช่องโหว่ทั้งสองรายการ

ในส่วนของการประเมินความเสี่ยง Rapid7 ระบุว่า “NetScaler ADC และ NetScaler Gateway เป็นผลิตภัณฑ์เครือข่ายระดับองค์กรที่ถูกใช้อย่างแพร่หลาย และโดยทั่วไปถูกวางไว้ที่ขอบเครือข่ายหรือใกล้ขอบเครือข่าย โดย NetScaler ADC ให้บริการส่งมอบแอปพลิเคชัน จัดการทราฟฟิก กระจายโหลด ถ่ายภาระ SSL/TLS และความสามารถด้านความปลอดภัยของแอปพลิเคชัน ขณะที่ NetScaler Gateway ให้บริการเข้าถึงระยะไกลอย่างปลอดภัยและฟังก์ชัน VPN”

บริษัทเดียวกันคาดว่าผู้ก่อภัยคุกคามจะลงมือโจมตีช่องโหว่วิกฤตนี้ในเวลาไม่นาน เนื่องจากอุปกรณ์ NetScaler มักถูกติดตั้งไว้ใน DMZ ขององค์กรและเข้าถึงได้จากสาธารณะ พร้อมย้ำว่า “องค์กรควรจัดลำดับความสำคัญของการแพตช์ระบบที่ได้รับผลกระทบในฐานะงานฉุกเฉิน เพราะผลิตภัณฑ์ของ Citrix เป็นเป้าหมายที่มีมูลค่าสูงและมักถูกโจมตีจริงอย่างรวดเร็ว”

วิธีการโจมตี

คำอธิบายทางเทคนิคที่ Citrix ให้ไว้คือช่องโหว่ประเภทข้ามการยืนยันตัวตนโดยใช้เส้นทางทางเลือก ซึ่งหมายความว่าระบบมีเส้นทางเข้าถึงฟังก์ชันเดียวกันมากกว่าหนึ่งทาง และเส้นทางหนึ่งในนั้นไม่ผ่านด่านตรวจสิทธิ์ที่เส้นทางหลักบังคับไว้ รูปแบบนี้เกิดขึ้นบ่อยกับอุปกรณ์ที่รองรับโหมดการทำงานหลายแบบพร้อมกัน อย่าง NetScaler ที่เครื่องเดียวทำได้ทั้ง SSL VPN, ICA Proxy, CVPN และ RDP Proxy เพราะแต่ละโหมดมีชุดปลายทางของตัวเอง และการตรวจสิทธิ์ต้องถูกบังคับให้ครบทุกชุด

เงื่อนไขการโจมตีที่ Rapid7 ระบุคือไม่ต้องล็อกอิน ไม่ต้องอาศัยปฏิสัมพันธ์จากผู้ใช้ และทำได้จากระยะไกล ซึ่งเป็นชุดเงื่อนไขที่แย่ที่สุดเท่าที่จะเป็นไปได้สำหรับอุปกรณ์ที่วางอยู่ที่ขอบเครือข่าย เพราะแปลว่าผู้โจมตีที่มองเห็นหน้าเว็บล็อกอินก็มีทุกอย่างที่ต้องใช้แล้ว

ส่วน CVE-2026-19489 มีเงื่อนไขที่แคบกว่ามาก คือทำงานได้เฉพาะเมื่อเปิดใช้ SIP ALG ในการตั้งค่ากลุ่ม LSN ซึ่งเป็นการตั้งค่าที่พบในสภาพแวดล้อมของผู้ให้บริการโทรคมนาคมมากกว่าองค์กรทั่วไป ผลลัพธ์ที่ได้คือหน่วยความจำล้นจนเกิดพฤติกรรมผิดปกติหรือระบบหยุดให้บริการ ไม่ใช่การรันโค้ด จึงเป็นความเสี่ยงด้านความพร้อมใช้งานมากกว่าความเสี่ยงต่อการถูกยึดระบบ

ทั้งนี้ต้องระบุข้อจำกัดของข้อมูลไว้ว่า ณ เวลาที่รายงาน ยังไม่มีการเปิดเผยรายละเอียดเชิงเทคนิคของเส้นทางทางเลือกที่ใช้ข้ามการยืนยันตัวตน ไม่มีโค้ดพิสูจน์แนวคิดสาธารณะ และไม่มีตัวชี้ว่ามีการโจมตีเกิดขึ้นแล้ว คำว่า “คาดว่าจะถูกโจมตี” เป็นการประเมินของ Rapid7 ที่อ้างอิงจากประวัติของผลิตภัณฑ์ตระกูลนี้ ไม่ใช่การสังเกตพบกิจกรรมจริง

เงื่อนไขที่ทำให้เครื่องเข้าข่าย และวิธีตรวจสอบการตั้งค่า

ประกาศฉบับเต็มของ Citrix ระบุเงื่อนไขที่ละเอียดกว่าการบอกเพียงหมายเลขเวอร์ชัน และเป็นจุดที่ตัดสินว่าเครื่องหนึ่ง ๆ เข้าข่ายจริงหรือไม่ สำหรับ CVE-2026-19490 บิลด์รุ่นใหม่กว่ามีเงื่อนไขที่แคบกว่ารุ่นเก่าอย่างชัดเจน กล่าวคือเวอร์ชัน 14.1-43.56 ขึ้นไป และ 14.1-66.68-FIPS ขึ้นไป จะเข้าข่ายก็ต่อเมื่อมีการตั้งค่า SAML action ร่วมกับการตั้ง NetScaler เป็นเกตเวย์ ไม่ว่าจะเป็น SSL VPN, ICA Proxy, CVPN หรือ RDP Proxy หรือเป็น AAA vserver เช่นเดียวกับเวอร์ชัน 13.1-61.28 ขึ้นไปที่เข้าข่ายเฉพาะเมื่อมีการตั้งค่า SAML action ในทางกลับกัน เวอร์ชัน 14.1-43.55 ลงมา, 13.1-61.27 ลงมา และ 13.1 FIPS เข้าข่ายทันทีเมื่อถูกตั้งค่าเป็นเกตเวย์หรือ AAA vserver โดยไม่ต้องมี SAML action ประกอบ

Citrix แนะนำให้ลูกค้าตรวจสอบการตั้งค่าของตัวเองเพื่อดูว่าเงื่อนไขที่ระบุไว้ใช้กับระบบของตนหรือไม่ พร้อมย้ำว่าการจัดลำดับความสำคัญควรพิจารณาจากการเปิดรับความเสี่ยง บทบาทของการติดตั้ง และการตั้งค่าที่ได้รับผลกระทบว่าถูกเปิดใช้อยู่หรือไม่ สำหรับ CVE-2026-19489 ลูกค้าสามารถตรวจสอบว่าอุปกรณ์เข้าเงื่อนไขหรือไม่ ด้วยการค้นหาข้อความ add lsn group.*sipalg.* ในไฟล์การตั้งค่าของ NetScaler ส่วน CVE-2026-19490 ให้ตรวจหาข้อความ add authentication samlAction.* สำหรับการตั้งค่า SAML action และ add authentication vserver .* หรือ add vpn vserver .* สำหรับ AAA หรือ VPN vserver

นอกจากการอัปเกรดแล้ว Citrix ยังระบุมาตรการบรรเทาผลกระทบชั่วคราวสำหรับ CVE-2026-19490 ไว้ว่า “ช่องโหว่นี้สามารถบรรเทาได้ด้วยการใช้ signature หากคุณใช้ NetScaler Console ไม่ว่าจะเป็นแบบบริการหรือแบบติดตั้งภายในองค์กร และหากเฟิร์มแวร์ของ NetScaler สูงกว่า 14.1-60.52 และ 13.1-63.16 ขึ้นไป ซึ่งมีฟีเจอร์ชื่อ Global Deny Lists ที่รับ signature เข้ามาและนำไปใช้กับอุปกรณ์ NetScaler ที่บริหารจัดการผ่าน NetScaler Console โดยอัตโนมัติ” โดยฟีเจอร์ดังกล่าวเปิดใช้งานเป็นค่าเริ่มต้นอยู่แล้ว ข้อสังเกตที่ควรระบุคือมาตรการนี้ใช้ได้เฉพาะกับอุปกรณ์ที่ถูกบริหารจัดการผ่าน NetScaler Console เท่านั้น อุปกรณ์ที่ตั้งค่าแยกอิสระจึงไม่ได้รับประโยชน์จากมาตรการนี้ และยังต้องพึ่งการอัปเกรดเป็นทางเดียว

ผลกระทบ

เหตุผลที่ช่องโหว่ในตระกูล NetScaler มีน้ำหนักมากกว่าช่องโหว่คะแนนเท่ากันในผลิตภัณฑ์อื่นอยู่ที่ตำแหน่งของอุปกรณ์ในสถาปัตยกรรมเครือข่าย อุปกรณ์เหล่านี้ถูกวางไว้ตรงจุดที่ทราฟฟิกจากภายนอกเข้ามาก่อนถึงระบบภายใน และทำหน้าที่ถอดรหัส SSL/TLS ให้ด้วย นั่นแปลว่าผู้ที่ยึดอุปกรณ์ได้จะอยู่ในตำแหน่งที่มองเห็นทราฟฟิกในรูปแบบข้อความธรรมดา และอยู่ในเขตที่ระบบภายในไว้ใจโดยปริยาย

สำหรับองค์กรที่ใช้ NetScaler Gateway เป็นทางเข้า VPN ของพนักงาน การข้ามการยืนยันตัวตนมีความหมายตรงตัวว่าด่านหน้าที่ใช้ควบคุมว่าใครเข้าเครือข่ายภายในได้บ้างถูกยกออกไปทั้งด่าน และเนื่องจากผู้โจมตีไม่ต้องมีบัญชีใด ๆ การป้องกันที่วางอยู่บนความแข็งแรงของรหัสผ่านหรือการยืนยันตัวตนหลายปัจจัยจะไม่ช่วยในกรณีนี้

ในแง่ของจังหวะเวลา ประเด็นที่ Rapid7 ชี้ว่าผลิตภัณฑ์ของ Citrix “มักถูกโจมตีจริงอย่างรวดเร็ว” มีน้ำหนักเชิงประจักษ์ และมีตัวอย่างที่ใกล้ที่สุดเกิดขึ้นเมื่อเดือนก่อน โดยช่องโหว่การตรวจสอบอินพุตไม่เพียงพอใน NetScaler ADC และ NetScaler Gateway ที่ได้รับหมายเลข CVE-2026-8451 คะแนน CVSS 8.8 ปรากฏความพยายามโจมตีจริงภายในเวลาไม่ถึง 24 ชั่วโมงหลังการเปิดเผยต่อสาธารณะ ผู้ดูแลระบบจึงไม่ควรใช้ข้อเท็จจริงที่ว่ายังไม่มีรายงานการโจมตีเป็นเหตุผลในการเลื่อนการแพตช์ออกไปตามรอบปกติ

คำแนะนำ

สิ่งที่ต้องทำก่อนอื่นคืออัปเกรด NetScaler ADC และ NetScaler Gateway ไปยังเวอร์ชันที่มีตัวแก้ ได้แก่ 14.1-73.32, 13.1-63.21, 14.1-73.32 FIPS หรือ 13.1-FIPS และ 13.1-NDcPP 13.1-37.277 ตามสายที่ใช้อยู่ โดยจัดเป็นงานฉุกเฉินตามที่ Rapid7 แนะนำ ไม่ใช่รอรอบบำรุงรักษาถัดไป

ก่อนหรือระหว่างรอหน้าต่างเวลาสำหรับอัปเกรด ควรใช้ข้อความค้นหาที่ Citrix ให้ไว้ตรวจสอบการตั้งค่าของอุปกรณ์แต่ละเครื่องว่าเข้าเงื่อนไขจริงหรือไม่ เพื่อจัดลำดับว่าเครื่องใดต้องขึ้นก่อน โดยเฉพาะองค์กรที่มีอุปกรณ์จำนวนมากและไม่สามารถหยุดให้บริการพร้อมกันได้ทั้งหมด สำหรับผู้ที่บริหารจัดการอุปกรณ์ผ่าน NetScaler Console ควรยืนยันว่าฟีเจอร์ Global Deny Lists เปิดใช้งานอยู่จริงและเฟิร์มแวร์อยู่ในช่วงที่รองรับ เพื่อให้มาตรการบรรเทาชั่วคราวมีผลระหว่างรอการอัปเกรด แต่ต้องไม่ถือว่ามาตรการนี้ใช้แทนการแพตช์ได้

จุดที่ต้องไม่ลืมคือการทำบัญชีอินสแตนซ์ให้ครบ เพราะประกาศของ Citrix ระบุชัดว่าการติดตั้งแบบ Secure Private Access Hybrid หรือ SecurAccess ZTNA Hybrid ที่ใช้อินสแตนซ์ NetScaler ซึ่งลูกค้าดูแลเองอยู่เบื้องหลังก็ได้รับผลกระทบด้วย อินสแตนซ์เหล่านี้มักไม่ถูกนับรวมในรายการอุปกรณ์ที่ทีมเครือข่ายดูแลโดยตรง จึงมีโอกาสตกหล่นจากรอบแพตช์สูง ในทางกลับกัน องค์กรที่ใช้เฉพาะบริการคลาวด์ที่ Citrix บริหารจัดการเองหรือ Citrix-managed Adaptive Authentication ไม่ต้องดำเนินการใด เพราะอัปเดตถูกติดตั้งให้แล้ว

สำหรับ CVE-2026-19489 องค์กรที่ไม่ได้ใช้ SIP ALG ในการตั้งค่ากลุ่ม LSN ควรตรวจสอบยืนยันว่าฟีเจอร์นี้ปิดอยู่จริง เพราะการปิดฟีเจอร์ที่ไม่ได้ใช้เป็นการลดพื้นผิวการโจมตีที่ไม่มีต้นทุนด้านการใช้งาน ส่วนผู้ให้บริการที่จำเป็นต้องเปิดใช้ควรเร่งอัปเกรดพร้อมกับช่องโหว่วิกฤตในคราวเดียว

สุดท้าย เนื่องจากอุปกรณ์ประเภทนี้เป็นเป้าหมายที่ถูกจับตาต่อเนื่อง องค์กรควรทบทวนด้วยว่าหน้าจัดการของอุปกรณ์เปิดให้เข้าถึงจากอินเทอร์เน็ตหรือไม่ จำกัดให้เข้าถึงได้เฉพาะจากเครือข่ายบริหารจัดการ และเก็บล็อกการเข้าถึงไว้ในระบบรวมศูนย์นอกตัวอุปกรณ์ เพื่อให้ยังตรวจสอบย้อนหลังได้แม้ตัวอุปกรณ์จะถูกยึดไปแล้ว

แหล่งอ้างอิง