แคมเปญใหม่ใช้ช่องโหว่ Citrix NetScaler CVE-2026-88771 แบบวางยาล็อก ฝัง web shell Nx_7508 และ implant FreeBSD — Zscaler พบโครงสร้างร่วมกับการโจมตี Magento StyleSmuggler

สรุปสั้น

ทีม ThreatLabz ของบริษัท Zscaler เผยแพร่การวิเคราะห์แคมเปญที่ใช้ช่องโหว่ CVE-2026-88771 ใน Citrix NetScaler ADC และ NetScaler Gateway เพื่อรันคำสั่งบนอุปกรณ์ที่เปิดออกอินเทอร์เน็ต ฝัง web shell และส่งมัลแวร์ ช่องโหว่นี้ให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนรันคำสั่งจากระยะไกลได้ คะแนน CVSS v3.1 อยู่ที่ 9.8 และ CVSS v4.0 อยู่ที่ 9.5 บริษัท Citrix เปิดเผยเมื่อ 27 กันยายน 2569 พร้อมยืนยันว่าอุปกรณ์ที่ยังไม่อัปเดตถูกโจมตีแล้ว ซึ่งตรงกับที่ CISA เพิ่มเข้า KEV ในวันเดียวกัน (ดูโพสต์ 2026/09/230)

สิ่งที่ Zscaler เพิ่มเข้ามาคือภาพของห่วงโซ่การโจมตีแบบหลายขั้น เริ่มจากวางยาล็อกเว็บ (log poisoning) ตามด้วยการส่งคำขอยืนยันตัวตนปลอมที่ทำให้สคริปต์ Perl วินิจฉัยระบบรันคำสั่งของผู้โจมตี แล้วพยายามวางไฟล์ Nx_7508.php และ Nx_7508.pl กับดาวน์โหลด implant FreeBSD ชื่อ kw2-freebsd-x64-s11 เซิร์ฟเวอร์ดาวน์โหลดเคยปรากฏในการโจมตี Magento และ Adobe Commerce ด้วย CVE-2026-75650 (StyleSmuggler) มาก่อน แต่ Zscaler ถือเป็นเพียงเบาะแสสืบสวน ไม่ใช่หลักฐานว่าเป็นกลุ่มเดียวกัน และย้ำว่าการแพตช์ไม่ลบ web shell หรือ implant ที่ฝังไปแล้ว

รายละเอียดข่าว

เว็บไซต์ Cybersecurity News รายงานเมื่อวันที่ 23 ตุลาคม 2569 ว่าช่องโหว่วิกฤตใน Citrix NetScaler ADC และ Gateway กำลังถูกใช้รันคำสั่งบนอุปกรณ์ ติดตั้ง web shell และส่งมัลแวร์ ตามการวิเคราะห์ทางเทคนิคของ Zscaler ThreatLabz เหตุที่น่ากังวลคืออุปกรณ์ NetScaler มักอยู่ที่ขอบเครือข่ายองค์กรและจัดการการเข้าถึงระยะไกลหรือทราฟฟิกแอปพลิเคชัน web shell จึงเป็นทางกลับเข้าอุปกรณ์ที่ถูกเจาะ ส่วน implant แยกต่างหากก็เป็นจุดยึดอีกจุดหนึ่ง

แคมเปญนี้แตกต่างจากที่เคยรายงานไว้ก่อนหน้า ทั้งแคมเปญที่ watchTowr และ GreyNoise เห็นในช่วงแรก (โพสต์ 2026/09/230) และแคมเปญที่ Binary Defense พบว่าฝัง Platypus RAT ดัดแปลงผ่าน zero-day 2 ตัวของ NetScaler (โพสต์ 105) Cybersecurity News เองก็ย้ำว่ารายงานก่อนหน้าเป็นบริบทที่มีประโยชน์ แต่เป็นเหตุการณ์ต่างกัน และไม่ควรถือเป็นหลักฐานว่าผู้อยู่เบื้องหลังเป็นกลุ่มเดียวกัน

บทเรียนสำคัญของแคมเปญนี้คือการแพตช์อย่างเดียวไม่พอ องค์กรต้องตรวจด้วยว่าผู้โจมตีแก้ไฟล์ การตั้งค่า หรือล็อกระบบไปแล้วหรือยัง เพราะแพตช์ป้องกันการใช้ช่องโหว่ซ้ำ แต่ไม่ลบสิ่งที่ฝังไว้ก่อนแพตช์

วิธีการโจมตี

ขั้นแรก ผู้โจมตีส่งคำขอไปยัง path ทั่วไปของ NetScaler เช่น /logon/LogonPoint/index.html และ /vpn/index.html โดยใส่เครื่องหมาย “INDEX:” และเนื้อหาที่เข้ารหัสไว้ในฟิลด์ User-Agent จุดประสงค์คือให้ข้อมูลที่ผู้โจมตีควบคุมถูกเขียนลงล็อกการเข้าถึงเว็บ คำขอแรกนี้ยังไม่รัน payload เต็ม จากนั้นผู้โจมตีส่งคำขอยืนยันตัวตนไปที่ /nf/auth/doAuthentication.do หรือ /cgi/login โดยใส่ข้อความที่ทำให้ดูเหมือนข้อความแจ้งความล้มเหลวของ Packet Processing Engine (มีคำว่า “pitboss PPE”)

กระบวนการที่มีช่องโหว่คือสคริปต์ Perl สำหรับวินิจฉัยระบบที่มาประมวลผลรายการล็อกที่ตรงเงื่อนไขในภายหลัง Zscaler ระบุว่าสคริปต์นี้จัดการอักขระที่ผู้โจมตีควบคุมในข้อความปลอมได้ไม่ปลอดภัย เมื่อสคริปต์ประมวลผลรายการที่ถูกวางยา คำสั่งที่ต่อท้ายไว้จะรันด้วยสิทธิ์ของสคริปต์ วิธีแบบหน่วงเวลานี้อธิบายได้ว่าทำไมคำขอที่ดูเหมือนทราฟฟิกเว็บหรือการล็อกอินธรรมดาจึงอาจเป็นส่วนหนึ่งของการเจาะอุปกรณ์

payload ที่พบพยายามสร้างไฟล์ที่เข้าถึงผ่านเว็บได้ เปิดให้เว็บเซิร์ฟเวอร์ประมวลผล PHP หรือ Perl แล้ววางไฟล์ Nx_7508.php และ Nx_7508.pl พร้อมไฟล์ Nx_7508.html ที่ใช้พิมพ์ลายนิ้วมืออุปกรณ์ นอกจากนี้ยังพยายามดาวน์โหลดและรันไบนารี FreeBSD 64 บิตชื่อ kw2-freebsd-x64-s11 ไปไว้ที่ /var/kw2s11 จากเซิร์ฟเวอร์ 209.141.43[.]95 ซึ่ง Zscaler รายงานว่าเคยปรากฏในกิจกรรมที่เล็ง Magento และ Adobe Commerce ด้วย StyleSmuggler (ดูโพสต์ 2026/09/042 และ 2026/09/066)

ผลกระทบ

NetScaler ADC และ Gateway เป็นประตูทางเข้าองค์กรที่จัดการ VPN และการยืนยันตัวตน อุปกรณ์ที่ถูกฝัง web shell หรือ implant จึงเปิดทางให้ผู้โจมตีดักข้อมูลรับรอง ขโมยเซสชัน และเคลื่อนเข้าเครือข่ายภายใน นอกจากนี้เทคนิควางยาล็อกทำให้คำขอขั้นแรกดูเหมือนทราฟฟิกปกติ ทีมที่ตรวจเฉพาะคำขอที่ดูอันตรายโดยตรงอาจพลาดได้

การพบโครงสร้างดาวน์โหลดร่วมกับแคมเปญ Magento ชี้ว่าผู้โจมตีบางกลุ่มเก็บช่องโหว่วิกฤตของอุปกรณ์ขอบเครือข่ายและแพลตฟอร์มเว็บหลายตัวไว้ใช้สลับกัน องค์กรที่แพตช์ NetScaler ช้าหลัง 27 กันยายน จึงควรถือว่ามีโอกาสถูกเจาะแล้วและต้องล่าหาร่องรอย ไม่ใช่แค่อัปเดต

คำแนะนำ

• อัปเกรด NetScaler ADC และ Gateway เป็น 14.1-73.46 ขึ้นไป หรือ 13.1-64.29 ขึ้นไป สำหรับรุ่น FIPS ใช้ 14.1-73.46 FIPS ขึ้นไป และ 13.1.37.283 ขึ้นไปสำหรับ 13.1-FIPS และ 13.1-NDcPP โดยตรวจ build ที่ถูกต้องของผลิตภัณฑ์ตัวเองกับ Citrix
• ก่อนอัปเดต เก็บหลักฐานไว้ก่อน ทั้ง remote syslog, technical support bundle และ core dump ที่มี
• ตรวจล็อกการยืนยันตัวตนและล็อกเว็บหา User-Agent ที่มี “INDEX:” ข้อความ “pitboss PPE” ที่ปลอมขึ้น คำขอไปยัง path ในตาราง IoCs และการเชื่อมต่อที่อุปกรณ์เริ่มเองไปยังโฮสต์ไม่คุ้นเคย
• ตรวจไฟล์เว็บที่ไม่ได้อนุมัติ (เช่น Nx_7508.*) การตั้งค่าเว็บเซิร์ฟเวอร์ที่เปิดประมวลผล PHP/Perl และ process ที่น่าสงสัย รวมถึงไฟล์ /var/kw2s11
• หากสงสัยว่าถูกเจาะ ให้แยกอุปกรณ์ออกพร้อมเก็บหลักฐาน แล้วหมุนเวียนข้อมูลรับรอง โทเคน และใบรับรองทั้งหมดที่อุปกรณ์เข้าถึงได้
• ร้านค้าออนไลน์ที่ใช้ Magento หรือ Adobe Commerce ตรวจว่าแพตช์ CVE-2026-75650 แล้ว และบล็อกการเชื่อมต่อไป 209.141.43[.]95

Indicators of Compromise (IoCs)

ข้อมูลจาก Zscaler ThreatLabz · IP ถูก defang แล้ว ([.]) ต้องแปลงกลับก่อนใช้งาน

ไฟล์ path และเครื่องหมายในล็อก

IP ต้นทางที่รายงาน

แหล่งอ้างอิง

• CVE-2026-88771: Inside Exploitation of a Critical NetScaler RCE Vulnerability — Zscaler ThreatLabz
• Hackers Exploit Critical Citrix NetScaler RCE Flaw to Deploy Web Shells and Malware — Cybersecurity News