สรุปสั้น
บริษัท Citrix ออกแพตช์ช่องโหว่ระดับวิกฤตอีกรายการใน NetScaler ADC และ NetScaler Gateway หมายเลข CVE-2026-107406 คะแนน CVSS 9.5 จาก 10 เป็นช่องโหว่ memory overflow ที่ Citrix ระบุว่าอาจนำไปสู่การรันโค้ดจากระยะไกล (RCE) หรือการโจมตีให้บริการหยุดชะงัก (DoS) ภายใต้เงื่อนไขการตั้งค่าเฉพาะ คือเมื่ออุปกรณ์ถูกตั้งเป็น SAML identity provider (IdP) หรือ SAML service provider (SP) ซึ่งเป็นรูปแบบที่องค์กรใช้ทำ single sign-on อยู่ทั่วไป ระบบ Secure Private Access แบบ hybrid ที่ใช้ NetScaler ก็ได้รับผลกระทบด้วย
ขณะนี้ยังไม่พบหลักฐานว่าช่องโหว่ถูกใช้โจมตีจริง ผู้ค้นพบคือนาย Michael Tucker นาย Chew Keong Tan และนาย Alex Bernier จากทีม XOR ของบริษัท JPMorgan Chase ร่วมกับนาย Maxim Suhanov แพตช์ออกมาในช่วงที่ NetScaler กำลังถูกโจมตีหนักจากช่องโหว่อื่นอีก 3 รายการ (CVE-2026-88771, CVE-2026-88772 และ CVE-2026-88779) โดย 2 รายการแรกเว็บไซต์นี้รายงานไว้ในโพสต์ 2026/09/230 ประวัติที่ผ่านมาบอกชัดว่าช่องโหว่วิกฤตของ NetScaler มักถูกใช้โจมตีไม่นานหลังเปิดเผย องค์กรจึงไม่ควรรอจนมีรายงานการโจมตี
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 9 ตุลาคม 2569 ว่า Citrix เผยแพร่ประกาศความปลอดภัย CTX697191 พร้อมคำแนะนำเร่งด่วนสำหรับ CVE-2026-107406 Citrix อธิบายว่าเป็นช่องโหว่ memory overflow ที่อาจนำไปสู่ RCE หรือ DoS ภายใต้เงื่อนไขการตั้งค่าเฉพาะ และไม่ได้เปิดเผยรายละเอียดเชิงเทคนิคว่าผู้โจมตีต้องส่งข้อมูลแบบใด
ผู้ดูแลระบบตรวจได้ว่าอุปกรณ์เข้าเงื่อนไขหรือไม่โดยดูไฟล์คอนฟิก ถ้าพบคำสั่ง add authentication samlAction แปลว่าตั้งเป็น SAML SP และถ้าพบ add authentication samlIdPProfile แปลว่าตั้งเป็น SAML IdP ช่วงเวอร์ชันที่ได้รับผลกระทบแบ่งเป็น 2 กลุ่มตามรูปแบบการตั้งค่า ซึ่งบ่งชี้ว่าเวอร์ชันระหว่าง 14.1-73.37 ถึง 14.1-73.41 มีปัญหาเฉพาะฝั่ง IdP ส่วนเวอร์ชันเก่ากว่านั้นโดนทั้งสองบทบาท
Citrix ยังเตือนว่าระบบ Secure Private Access แบบ hybrid ที่ใช้ NetScaler ได้รับผลกระทบด้วย และลูกค้าต้องอัปเกรด NetScaler เหล่านั้นเป็นเวอร์ชันที่แนะนำ ทั้งนี้ ณ เวลาที่รายงาน Citrix ระบุเพียงว่ายังไม่พบหลักฐานการโจมตีจริง
รายละเอียดช่องโหว่
| รายการ | รายละเอียด |
|---|---|
| CVE | CVE-2026-107406 |
| ประเภท | Memory overflow → RCE หรือ DoS |
| CVSS | 9.5 (Critical) |
| เงื่อนไข | ตั้งค่าเป็น SAML IdP หรือ SAML SP |
| การโจมตีจริง | ยังไม่พบ |
| ผู้ค้นพบ | Michael Tucker, Chew Keong Tan, Alex Bernier (JPMorgan Chase XOR Team) และ Maxim Suhanov |
เวอร์ชันที่ได้รับผลกระทบ — เมื่อตั้งค่าเป็น SAML IdP เท่านั้น
- NetScaler ADC และ NetScaler Gateway ตั้งแต่ 14.1-73.37 ถึง 14.1-73.41
- NetScaler ADC 14.1-FIPS ตั้งแต่ 14.1-73.37 FIPS ถึง 14.1-73.41 FIPS
- NetScaler ADC และ NetScaler Gateway ตั้งแต่ 13.1-64.23 ถึง 13.1-64.28
- NetScaler ADC 13.1-FIPS ตั้งแต่ 13.1-NDcPP 13.1-37.279 ถึง 13.1-37.282
เวอร์ชันที่ได้รับผลกระทบ — เมื่อตั้งค่าเป็น SAML SP หรือ SAML IdP
- NetScaler ADC และ NetScaler Gateway ก่อน 14.1-73.37
- NetScaler ADC 14.1-FIPS ก่อน 14.1-73.37 FIPS
- NetScaler ADC และ NetScaler Gateway ก่อน 13.1-64.23
- NetScaler ADC 13.1-FIPS ก่อน 13.1-NDcPP 13.1-37.279
เวอร์ชันที่แก้ไขแล้ว
- NetScaler ADC และ NetScaler Gateway 14.1-73.46 ขึ้นไป
- NetScaler ADC และ NetScaler Gateway 13.1-64.29 ขึ้นไปในสาย 13.1
- NetScaler ADC 14.1-FIPS 14.1-73.46 FIPS ขึ้นไป
- NetScaler ADC 13.1-FIPS และ 13.1-NDcPP 13.1-37.283 ขึ้นไป
ผลกระทบ
NetScaler ADC และ Gateway มักวางอยู่ที่ขอบเครือข่ายเป็นทางเข้าระยะไกลและตัวยืนยันตัวตนของแอปพลิเคชันภายใน การตั้งค่า SAML เพื่อทำ single sign-on ก็เป็นรูปแบบที่พบบ่อยในองค์กรขนาดใหญ่ ช่องโหว่ที่เปิดทาง RCE บนอุปกรณ์ในตำแหน่งนี้จึงเท่ากับเปิดประตูหน้าของเครือข่ายและจุดที่ถือ session ของผู้ใช้ไว้ทั้งหมด
แม้ยังไม่พบการโจมตี แต่ปี 2569 NetScaler ถูกโจมตีต่อเนื่องหลายระลอก ทั้ง CVE-2026-8452 ที่ Citrix จัดเป็นแค่ DoS แต่ watchTowr สาธิตว่าทำ RCE ได้ (โพสต์ 2026/08/160 ) และกลุ่มช่องโหว่ 88771/88772/88779 ที่ยังถูกโจมตีอยู่ คำอธิบาย “อาจนำไปสู่ RCE” ของ Citrix ในครั้งนี้จึงควรอ่านว่ามีความเสี่ยงสูงจริง และองค์กรที่ยังไม่ได้แพตช์รอบก่อนจะมีพื้นผิวโจมตีซ้อนกันหลายช่อง
คำแนะนำ
- ตรวจคอนฟิกหาคำสั่ง
add authentication samlActionและadd authentication samlIdPProfileเพื่อดูว่าอุปกรณ์ใดเข้าเงื่อนไข - อัปเกรดเป็น 14.1-73.46, 13.1-64.29 หรือ 13.1-37.283 (FIPS/NDcPP) ขึ้นไปโดยเร็ว รวมถึง NetScaler ที่ใช้ใน Secure Private Access แบบ hybrid
- อุปกรณ์ที่ยังอยู่ในเวอร์ชันก่อน 14.1-73.37 หรือ 13.1-64.23 ให้ถือว่ายังขาดแพตช์รอบก่อนด้วย และตรวจย้อนหลังหาร่องรอยการเจาะจาก CVE-2026-88771/88772/88779 ก่อนหรือหลังอัปเกรด
- หลังอัปเกรด ให้ล้าง session ที่ค้างอยู่ และเฝ้าระวังการเข้าถึงและคำขอ SAML ที่ผิดปกติ
- ติดตามประกาศ CTX697191 และบัญชี KEV ของ CISA เผื่อมีการยืนยันการโจมตีจริงในภายหลัง