Netscaler

Zscaler ThreatLabz พบแคมเปญใช้ช่องโหว่ CVE-2026-88771 ใน Citrix NetScaler ADC และ Gateway คะแนน CVSS 9.8 รันคำสั่งจากระยะไกลโดยไม่ต้องยืนยันตัวตน ผู้โจมตีวางเนื้อหาเข้ารหัสลงล็อกเว็บก่อน แล้วส่งคำขอยืนยันตัวตนปลอมให้สคริปต์ Perl ประมวลผลจนรันคำสั่ง จากนั้นพยายามฝัง web shell และดาวน์โหลด implant FreeBSD เซิร์ฟเวอร์ดาวน์โหลดเคยปรากฏในการโจมตี Magento ด้วย StyleSmuggler แต่ยังไม่ยืนยันว่าเป็นกลุ่มเดียวกัน แพตช์อย่างเดียวไม่ลบ implant ที่ฝังไปแล้ว

บริษัท Binary Defense พบผู้โจมตีใช้ช่องโหว่ zero-day รหัส CVE-2026-88771 และ CVE-2026-88772 ใน Citrix NetScaler ADC และ Gateway ฝัง Platypus เครื่องมือควบคุมระยะไกลโอเพนซอร์สที่ถูกดัดแปลงและคอมไพล์สำหรับ FreeBSD โดยปลอมเป็นไฟล์ .pl ช่องโหว่ command injection ทำงานผ่านล็อก จึงอาจรันคำสั่งช้าได้ถึง 24 ชั่วโมง การติดตั้งแพตช์ไม่ลบ implant ที่ฝังไว้แล้ว อุปกรณ์ที่เปิดสู่อินเทอร์เน็ตก่อนแพตช์ควรถือว่าอาจถูกบุกรุก ยังไม่มีการระบุกลุ่มผู้โจมตี

บริษัท Citrix ออกแพตช์ช่องโหว่ CVE-2026-107406 ใน NetScaler ADC และ NetScaler Gateway คะแนน CVSS 9.5 เป็น memory overflow ที่อาจนำไปสู่ RCE หรือ DoS เงื่อนไขคืออุปกรณ์ต้องตั้งค่าเป็น SAML identity provider หรือ service provider ยังไม่พบหลักฐานการโจมตีจริง ทีม JPMorgan Chase XOR และนาย Maxim Suhanov เป็นผู้รายงาน แก้แล้วในเวอร์ชัน 14.1-73.46 และ 13.1-64.29 ขึ้นไป

CISA เพิ่ม 2 ช่องโหว่วิกฤตใน Citrix NetScaler ADC และ Gateway เข้า KEV หลังพบถูกใช้โจมตีทั่วโลก คือ CVE-2026-88771 (CVSS 9.5) improper input validation ให้รันคำสั่งได้โดยไม่ต้องยืนยันตัวตน และ CVE-2026-88772 (CVSS 9.5) buffer error ที่นำไปสู่ RCE หรือ DoS โดย 88772 ต้องเปิด DTLS ซึ่งเปิดเป็นค่าเริ่มต้นบน VPN vserver บริษัท watchTowr สาธิตว่า 88771 รันโค้ดเป็น root ผ่าน endpoint pre-auth ได้ ขณะ Unit 42 พบเครื่องเปิดสู่สาธารณะกว่า 50,277 เครื่อง

CISA เร่งให้หน่วยงานรัฐจัดการช่องโหว่ CVE-2026-8452 ใน Citrix NetScaler ที่กำลังถูกใช้โจมตีจริง โดยเป็นหนึ่งในช่องโหว่ที่ Citrix ออกแพตช์ไปตั้งแต่วันที่ 30 มิถุนายน 2569 และถูกอธิบายไว้ว่าเป็นแค่ memory overflow ระดับสูงที่นำไปสู่ DoS แต่บริษัท watchTowr วิเคราะห์แล้วสาธิตว่าใช้รันโค้ดจากระยะไกลได้โดยไม่ต้องยืนยันตัวตน และเปิดโค้ด PoC เมื่อวันที่ 14 สิงหาคม หลังจากนั้นไม่นานก็เริ่มพบการโจมตีจริงที่วางเว็บเชลล์

บริษัท Citrix ออกแพตช์แก้ช่องโหว่ 2 รายการใน NetScaler ADC และ NetScaler Gateway เมื่อวันพุธที่ 19 สิงหาคม 2569 ตัวที่ร้ายแรงที่สุดคือ CVE-2026-19490 คะแนน CVSS 9.3 ช่องโหว่ข้ามการยืนยันตัวตนผ่านเส้นทางทางเลือก ซึ่งผู้โจมตีจากระยะไกลใช้ได้โดยไม่ต้องล็อกอินและไม่ต้องอาศัยปฏิสัมพันธ์จากผู้ใช้ กระทบเครื่องที่ตั้งค่าเป็นเกตเวย์หรือ AAA virtual server อีกรายการคือ CVE-2026-19489 ระดับสูงที่ทำให้เกิด DoS เมื่อเปิด SIP ALG โดย Rapid7 คาดว่าจะถูกโจมตีในไม่ช้า

หน่วยวิจัย Unit 42 ของบริษัท Palo Alto Networks เปิดเผยว่าผู้โจมตีที่ใช้ภาษาจีนนำโมเดล DeepSeek มาทำงานผ่านเฟรมเวิร์กโอเพนซอร์ส Hermes Agent เพื่อโจมตีแบบอัตโนมัติ หลังสั่งงานครั้งแรกผ่าน Telegram เอเจนต์ก็ค้นหาระบบที่เปิดสู่อินเทอร์เน็ตและเลือกโค้ดโจมตีสาธารณะเอง โดยไม่พบคำสั่งเพิ่มเติมจากผู้ควบคุมในเซสชันนั้น รวมความพยายามโจมตีเป้าหมายกว่า 460 แห่งผ่านเส้นทางโจมตี 7 เส้นที่ครอบคลุม 8 หมายเลข CVE ปฏิบัติการถูกเปิดโปงเพราะเอเจนต์เผลอเปิดเว็บเซิร์ฟเวอร์ทิ้งไว้จนไฟล์ตั้งค่าและคีย์ API หลุด

Citrix ออกแพตช์แก้ช่องโหว่ 6 รายการใน NetScaler ADC และ NetScaler Gateway ที่เปิดให้ผู้โจมตีอ่านไฟล์ในเครื่องได้โดยไม่ต้องยืนยันตัวตน หรือทำระบบล่มด้วย DoS คะแนน CVSS สูงสุดถึง 8.8 บริษัท watchTowr พบว่าปัญหาเกิดจากการจัดการหน่วยความจำที่เปราะบางในการ parse SAML ผู้ดูแลระบบควรอัปเดตทันที