Citrix เตือนแพตช์ด่วนช่องโหว่ร้ายแรงบน NetScaler ที่ถูกเจาะระบบได้จากระยะไกล

Citrix ออกคำเตือนให้ผู้ดูแลระบบไอทีแพตช์ช่องโหว่ร้ายแรงตัวใหม่ที่ส่งผลต่ออุปกรณ์เครือข่าย NetScaler ADC และโซลูชันเข้าถึงระยะไกลอย่างปลอดภัย NetScaler Gateway โดยทันที ช่องโหว่นี้มีรหัส CVE-2026-107406 เกิดจากจุดบกพร่องแบบ memory overflow ที่ผู้โจมตีสามารถใช้เพื่อสั่งรันโค้ดจากระยะไกล (RCE) บนอุปกรณ์เป้าหมาย หรือทำให้ระบบปฏิเสธการให้บริการจนล่มได้

อุปกรณ์ที่มีความเสี่ยงต้องถูกตั้งค่าให้ทำงานเป็น SAML Identity Provider หรือ Service Provider เท่านั้น Citrix ระบุว่า ขอให้ลูกค้าที่ได้รับผลกระทบตรวจสอบประกาศและอัปเกรดอุปกรณ์ NetScaler ที่เสี่ยงไปยังเวอร์ชันที่แนะนำโดยเร็วที่สุด และย้ำว่า ณ ตอนที่เผยแพร่ประกาศนี้ Citrix ยังไม่พบการโจมตีที่เกิดขึ้นจริงจากช่องโหว่ดังกล่าว

• NetScaler ADC และ NetScaler Gateway 14.1-73.46 และรุ่นใหม่กว่า
• NetScaler ADC และ NetScaler Gateway 13.1-64.29 และรุ่นใหม่กว่าในสาย 13.1
• NetScaler ADC 14.1-FIPS 14.1-73.46 FIPS และรุ่นใหม่กว่าในสาย 14.1-FIPS
• NetScaler ADC 13.1-FIPS และ 13.1-NDcPP 13.1.37.283 และรุ่นใหม่กว่าในสาย 13.1-FIPS และ 13.1-NDcPP

หน่วยเฝ้าระวังภัยไซเบอร์ Shadowserver ตรวจพบอุปกรณ์ NetScaler ที่เปิดเผยอยู่บนอินเทอร์เน็ตกว่า 21,000 ไอพีแอดเดรส แบ่งเป็นอุปกรณ์ NetScaler Gateway กว่า 1,500 เครื่องและ NetScaler ADC เกือบ 20,000 เครื่อง แต่ยังไม่มีข้อมูลว่ามีเท่าใดที่เป็น honeypot แพตช์ไปแล้ว หรือยังมีการตั้งค่าที่เสี่ยงอยู่

แม้ยังไม่พบการโจมตี CVE-2026-107406 จริง แต่ Citrix เตือนว่าปีนี้มีช่องโหว่ NetScaler อื่นถูกโจมตีมาแล้วหลายครั้ง ตั้งแต่ CVE-2026-3055 และ CVE-2026-4368 ที่ถูกเตือนให้แพตช์ในเดือนมีนาคมก่อนถูกโจมตีไม่กี่วัน ไปจนถึงช่องโหว่ zero-day RCE ที่ถูกใช้จริง CVE-2026-88771 และ CVE-2026-88772 ในเดือนกันยายน ซึ่งเปิดทางให้ผู้โจมตีฝัง web shell และมัลแวร์เจาะอุโมงค์ ขโมยข้อมูลรับรอง เข้าถึงสิทธิ์ root และแพร่กระจายเข้าสู่เครือข่ายภายในของเหยื่อ รวมถึงช่องโหว่ denial-of-service CVE-2026-88779 ที่ออกแพตช์ฉุกเฉินก่อนหน้านี้ในเดือนนี้ ซึ่งนักวิจัยและผู้ดูแลระบบระบุว่าอาจถูกใช้สั่งรันโค้ดจากระยะไกลได้ด้วย ด้าน CISA ของสหรัฐฯ เปิดเผยว่าได้ติดตามช่องโหว่ Citrix ที่ถูกโจมตีจริงแล้ว 27 รายการนับตั้งแต่เดือนพฤศจิกายน 2021 ในจำนวนนี้ 7 รายการถูกใช้ในการโจมตีแบบ ransomware