CISA เตือน 2 ช่องโหว่วิกฤต Citrix NetScaler (CVE-2026-88771 / 88772) ถูกใช้โจมตีทั่วโลก — watchTowr สาธิตรันโค้ดเป็น root ผ่าน pre-auth

สรุปสั้น

หน่วยงาน CISA ของสหรัฐฯ เพิ่มช่องโหว่วิกฤตสองรายการใน Citrix NetScaler ADC และ Gateway เข้าสู่ Known Exploited Vulnerabilities (KEV) catalog เมื่อวันอาทิตย์ที่ 27 กันยายน 2026 หลังได้รับรายงานว่ามีการใช้โจมตีจริง ช่องโหว่แรกคือ CVE-2026-88771 (CVSS 9.5) เป็น improper input validation ที่เปิดให้ผู้โจมตีซึ่งไม่ได้ยืนยันตัวตนรันคำสั่งใด ๆ ได้ ส่วน CVE-2026-88772 (CVSS 9.5) เป็นช่องโหว่การจัดการหน่วยความจำที่นำไปสู่ remote code execution หรือ denial-of-service โดย 88771 กระทบทุกการติดตั้ง NetScaler ADC และ Gateway ขณะที่ 88772 ต้องเปิด DTLS ซึ่งเป็นค่าเริ่มต้นบน VPN virtual server อยู่แล้ว

หน่วยงาน CISA ระบุว่าได้รับรายงานและข่าวกรองภัยคุกคามจากพันธมิตรที่ยืนยันว่าผู้โจมตีกำลังใช้ช่องโหว่เหล่านี้โจมตีทั่วโลก และเนื่องจากการอัปเดตอุปกรณ์ NetScaler ทำได้ยากและอาจต้องหยุดให้บริการ CISA จึงออกการแจ้งเตือนนี้เพื่อช่วยให้ผู้ดูแลประเมินความเสี่ยงและจัดลำดับการแก้ไข ต่อมาบริษัท watchTowr Labs สาธิตว่า CVE-2026-88771 รันโค้ดเป็น root ได้ผ่านคำขอ pre-authentication ส่วนบริษัท Palo Alto Networks Unit 42 พบอุปกรณ์ NetScaler ที่เปิดออกสู่สาธารณะและอาจมีช่องโหว่ทั้งสองมากกว่า 50,277 เครื่อง

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 28 กันยายน 2569 ว่าหน่วยงาน CISA เพิ่มช่องโหว่วิกฤตสองรายการใน Citrix NetScaler ADC และ Gateway เข้า KEV catalog เมื่อวันอาทิตย์ หลังมีรายงานการใช้โจมตีจริง ช่องโหว่ทั้งสองได้แก่ CVE-2026-88771 (CVSS 9.5) ซึ่งเป็น improper input validation ที่เปิดให้ผู้โจมตีที่ไม่ได้ยืนยันตัวตนรันคำสั่งได้ และ CVE-2026-88772 (CVSS 9.5) ซึ่งเป็นการจำกัดการทำงานในขอบเขต memory buffer ที่ไม่ถูกต้อง นำไปสู่ RCE หรือ DoS

ขณะที่ CVE-2026-88771 กระทบทุกการติดตั้ง NetScaler ADC และ NetScaler Gateway ช่องโหว่ CVE-2026-88772 ต้องมีการเปิดใช้งานค่าตั้ง DTLS บน NetScaler ADC หรือ Gateway ซึ่งเป็นตัวเลือกที่เปิดเป็นค่าเริ่มต้นบน VPN virtual server อยู่แล้ว ทั้งสองช่องโหว่ได้รับการแก้ไขในเวอร์ชัน NetScaler ADC และ Gateway 14.1-73.37 ขึ้นไป, 13.1-64.23 ขึ้นไปของสาย 13.1, รวมถึงสาย FIPS/NDcPP ที่เกี่ยวข้อง โดยหน่วยงาน CISA กำหนดให้หน่วยงานรัฐบาลกลางฝ่ายพลเรือน (FCEB) ต้องติดตั้งแพตช์ภายในวันที่ 30 กันยายน 2026

หน่วยงาน CISA ระบุว่า “ได้รับรายงานและข่าวกรองภัยคุกคามจากพันธมิตรที่ยืนยันว่าผู้โจมตีกำลังใช้ช่องโหว่เหล่านี้โจมตีอย่างต่อเนื่องทั่วโลก” และเนื่องจากการอัปเดตอุปกรณ์ NetScaler มีความซับซ้อนและอาจต้องหยุดให้บริการ จึงออกการแจ้งเตือนเพื่อช่วยองค์กรประเมินความเสี่ยงและจัดลำดับการบรรเทา บริษัท Citrix ยังจัดเตรียม generic IoC ผ่าน NetScaler Console เพื่อช่วยลูกค้าตรวจว่าระบบของตนได้รับผลกระทบหรือไม่

รายละเอียดช่องโหว่

บริษัท watchTowr Labs เปิดเผยเมื่อวันที่ 28 กันยายน 2026 ว่า CVE-2026-88771 มีรากมาจากสคริปต์ Perl ชื่อ “ns_monuploadd_err.pl” ที่ใช้ประมวลผลข้อมูล crash/error ของ NetScaler โดยสคริปต์นี้ประกอบคำสั่ง shell จากอินพุตที่ผู้โจมตีมีอิทธิพลควบคุมได้ นำไปสู่การรันโค้ดจากระยะไกลในสิทธิ์ root กล่าวคือ ผู้โจมตีที่ไม่ได้ยืนยันตัวตนสามารถ inject คำสั่ง shell ผ่านข้อมูลที่ NetScaler เขียนลง log ซึ่งจากนั้นถูกป้อนเป็นอินพุตให้คำสั่ง shell เกิดเป็น command injection และ RCE โดยทำได้ด้วยการส่งคำขอ pre-authentication ไปยัง endpoint “/nf/auth/doAuthentication.do” เพื่อ trigger ช่องโหว่

ด้านบริษัท GreyNoise ระบุว่าความพยายามใช้ช่องโหว่ครั้งแรกที่เซ็นเซอร์ตรวจพบเกิดขึ้นตั้งแต่วันที่ 24 กันยายน มาจาก IP address “149.104.78[.]141” แม้ผู้โจมตีจะยังไม่สำเร็จ โดยผู้โจมตีพยายามตั้งบิต setuid และ setgid บน /bin/sh เพื่อให้ได้ root shell แล้วติดตั้ง web shell ที่ป้องกันด้วยรหัสผ่านซึ่งรับคำสั่งผ่านค่า cookie ที่ผู้โจมตีส่งมา ซึ่งอาจทำเพื่อเลี่ยงการทิ้งร่องรอยคำสั่งไว้ใน web log นอกจากนี้ผู้โจมตียังพยายามตั้งค่าให้เว็บเซิร์ฟเวอร์ถือว่าไฟล์ dot ที่ติดตั้งไว้ (".ctxs.receiver") เป็นไฟล์ PHP ทั้งที่ไม่มีนามสกุล .php และสร้าง alias ให้คำขอไฟล์ CSS ที่ไม่มีอยู่จริง (“receiver.min.css”) ถูก route ไปยัง .ctxs.receiver รวมถึงตั้ง AliasMatch เพิ่มเพื่อให้ pattern ยืดหยุ่นขึ้น และสุดท้ายพยายาม kill โปรเซส httpd เพื่อรีสตาร์ตเซิร์ฟเวอร์

ผลกระทบ

อุปกรณ์ NetScaler ADC และ Gateway มักทำหน้าที่เป็นประตูทางเข้าองค์กรและระบบ VPN ที่เปิดออกสู่อินเทอร์เน็ตโดยตรง การมีช่องโหว่ pre-auth ที่รันโค้ดเป็น root ได้จึงเปิดทางให้ผู้โจมตียึดอุปกรณ์ขอบเครือข่ายและใช้เป็นหัวสะพานเข้าสู่ระบบภายใน บริษัท Palo Alto Networks Unit 42 พบอุปกรณ์ที่เปิดสู่สาธารณะและอาจมีช่องโหว่มากกว่า 50,277 เครื่อง ณ วันที่ 27 กันยายน 2026 สะท้อนพื้นผิวการโจมตีที่กว้างมาก ขณะที่ความพยายามติดตั้ง web shell ที่พรางเป็นไฟล์ CSS/ไฟล์ dot และการลบร่องรอยใน log แสดงว่าผู้โจมตีมุ่งฝังตัวระยะยาวและตรวจจับได้ยาก อุปกรณ์ที่เปิด DTLS บน VPN vserver ตามค่าเริ่มต้นยิ่งเสี่ยงต่อ CVE-2026-88772 เพิ่มขึ้น

คำแนะนำ

ผู้ดูแลควรอัปเดต NetScaler ADC และ Gateway ขึ้นเวอร์ชันที่แก้ไขแล้วโดยด่วน (14.1-73.37, 13.1-64.23 หรือใหม่กว่า รวมถึงสาย FIPS/NDcPP ที่เกี่ยวข้อง) และใช้ generic IoC ที่บริษัท Citrix ให้ผ่าน NetScaler Console เพื่อตรวจว่าถูกกระทบหรือไม่ หากสงสัยว่าถูกเจาะ บริษัท Citrix แนะนำให้เก็บหลักฐานของ NetScaler ADC VPX instance, แยกอุปกรณ์ออกจากเครือข่าย, เพิกถอน credential และสิทธิ์เข้าถึง, สอบสวนเซิร์ฟเวอร์และระบบทั้งหมดที่ NetScaler เคยเชื่อมต่อด้วย, สร้างใหม่และอัปเดต firmware เป็นเวอร์ชันล่าสุด, หมุน credential ทุกบัญชีในเครื่อง รวมถึง Key Encryption Key (KEK) และเปลี่ยน SSL certificate ที่กู้คืนมาทั้งหมด แล้วเสริมความแข็งแกร่งของอุปกรณ์ตาม best practice หน่วยงานรัฐควรเร่งดำเนินการก่อนเส้นตายที่ CISA กำหนด

Indicators of Compromise (IoCs)

หมายเหตุ: indicator ด้านล่าง defang ไว้แล้ว (เช่น 149.104.78[.]141) เพื่อความปลอดภัย · บริษัท Citrix ยังจัดเตรียม generic IoC เพิ่มเติมผ่าน NetScaler Console

แหล่งอ้างอิง

• CISA Adds Two Known Exploited Vulnerabilities to Catalog — CISA
• Critical Zero-Day Vulnerabilities Exploited in Citrix NetScaler ADC and Gateway — CISA
• Oh Look, the Foot-Gun Went Off Again: Citrix NetScaler Pre-Auth Command Injection (CVE-2026-88771) — watchTowr Labs
• NetScaler Zero-Days Exploited — Palo Alto Networks Unit 42