Citrix NetScaler 5 ช่องโหว่ถูกโจมตีจริง CVE-2026-88771 RCE

พอดีไล่ดู CISA KEV แล้วเห็นชื่อ NetScaler โผล่มาซ้ำๆ ตั้งแต่ปลายเดือน ส.ค. ถึงต้นเดือน ต.ค. 2026 รวมเป็น 5 CVE ผมเลยไปไล่อ่านบูลเลตินของ Citrix ทีละฉบับ ที่เจอคือไม่ใช่ช่องโหว่ชนิดเดียวกัน มีทั้ง RCE ที่ไม่ต้องล็อกอิน การข้ามการยืนยันตัวตน และ DoS จาก memory overflow โพสต์นี้เลยแยกให้ดูทีละกลุ่ม

เกิดอะไรขึ้น

มีข้อที่คนมักเข้าใจผิดคือคิดว่ากลุ่ม memory overflow คืออ่านหน่วยความจำแล้วขโมย session แต่บูลเลตินของ 8452 กับ 88779 เขียนผลกระทบเป็น DoS เท่านั้น มีแค่ 88772 ที่เขียนว่าไปถึง RCE ได้ และ 19490 เป็นการข้ามการยืนยันตัวตนจริง Citrix ไม่ได้เขียนถึงการขโมย session ในบูลเลตินที่ผมอ่านทั้งสี่ฉบับ

ถ้าเป็น 88771 Unit 42 ของ Palo Alto Networks อธิบายสายโจมตีที่เจอไว้ 3 ขั้น ฝัง Base64 command ใน header User-Agent ให้ถูกบันทึกลง access log จากนั้นส่ง request ล็อกอินที่ทำให้ข้อความ error ที่ประกอบมาพิเศษถูกเขียนลง ns.log แล้วสคริปต์ Perl ns_monuploadd_err.pl อ่านบรรทัดที่ถูกฝังนั้นไปรันเป็นคำสั่ง ผลคือติดตั้ง web shell ในโฟลเดอร์ของหน้าล็อกอิน ส่วนสาย 88772 ผ่าน DTLS Unit 42 เจอการวางไฟล์ .deb ที่เป็น PHP web shell

ระดับความรุนแรง

คะแนนทั้งหมดเป็น CVSS v4.0 ที่ Citrix ให้ไว้ ซึ่งเทียบตรงๆ กับคะแนน v3.1 ของผลิตภัณฑ์อื่นไม่ได้ ส่วนที่สำคัญกว่าคะแนนคือสถานะการถูกโจมตี

• 88771 และ 88772 บูลเลตินของ Citrix (CTX697096 ประกาศ 27 ก.ย. 2026) เขียนว่า "Exploits of CVE-2026-88771 and CVE-2026-88772 on unmitigated NetScaler deployments have been observed" เข้า KEV วันเดียวกัน กำหนดฝั่ง federal คือ 30 ก.ย. Unit 42 เล่าว่าเห็น request ที่เข้าข่ายสแกนหาเวอร์ชันตั้งแต่ 21 ส.ค. เห็นการขอไฟล์ .deb ซ้ำๆ จาก /vpn/scripts/linux/ ระหว่าง 4 ถึง 24 ก.ย. ซึ่งเป็นสาย DTLS ของ 88772 และเห็นสายโจมตีสามขั้นของ 88771 เมื่อ 21 ก.ย. ซึ่งก่อนประกาศทั้งหมด
• 8452, 19490, 88779 บูลเลตินของ Citrix ไม่ได้เขียนว่าถูกโจมตี สถานะมาจาก CISA KEV (และข้อมูล SSVC ใน CVE record ที่ระบุว่า active) ผมเลยเขียนได้แค่ว่าอยู่ใน KEV ไม่มีรายละเอียดวิธีโจมตีจากผู้ผลิต
• ระยะห่างระหว่างแพตช์กับ KEV น่าสนใจ 8452 ประกาศ 30 มิ.ย. เข้า KEV 26 ส.ค. หรือ 57 วันต่อมา และ 19490 ประกาศ 19 ส.ค. เข้า KEV 9 ก.ย. หรือ 21 วันต่อมา เครื่องที่ลงแพตช์ตามรอบปกติไม่นานหลังประกาศเลยรอดจากสองตัวนี้ ส่วน 88771/88772 ไม่มีช่วงเวลาให้เลย

CISA ติดสถานะ ransomware ของทั้งห้าตัวไว้ที่ "Unknown"

ใครโดนบ้าง และบิลด์ที่แก้

ทุกบูลเลตินใช้ขอบเขตเดียวกัน คือ NetScaler ADC และ Gateway สาย 14.1 กับ 13.1 รวมถึง FIPS และ NDcPP และ Secure Private Access Hybrid ที่ใช้ NetScaler ด้วย ส่วน Citrix-managed cloud service และ Citrix-managed Adaptive Authentication ทาง Cloud Software Group อัปเดตให้เอง

ทุกบูลเลตินเขียนว่า "และใหม่กว่า" เลยลงบิลด์แถวล่างสุดครั้งเดียวก็ครอบคลุมทุกตัวข้างบน รูปแบบการเขียน FIPS 13.1 ในบูลเลตินสลับระหว่างจุดกับขีด (13.1.37.279 กับ 13.1-37.279) ผมใช้ขีดตามชื่อสาย ตรวจกับรุ่นที่ดาวน์โหลดจริงอีกรอบ บูลเลตินของ 88771/88772 ยังปิดช่องโหว่อีก 6 ตัว (CVE-2026-88773 ถึง 88778) ในรุ่นเดียวกัน รวมเป็น 8 ตัว

วิธีแก้

1. เช็กว่าเข้าเงื่อนไขไหม ดูรุ่นและค้น config ตามคำสั่งด้านล่าง ถ้าเป็น Gateway หรือ AAA vserver ให้ถือว่าเข้าเงื่อนไขของหลายตัว
2. เก็บหลักฐานก่อนอัปเดต ถ้ามีเหตุสงสัย ตามที่ Unit 42 แนะนำ ได้แก่ VPX snapshot, log ที่ส่งออกนอกเครื่อง, technical support bundle และ packet engine core dump
3. ลงบิลด์ปลายทาง 14.1-73.41 หรือ 13.1-64.28 ขึ้นไป (FIPS ตามตาราง)
4. ค้นร่องรอย หลังอัปเดตตามหัวข้อถัดไป

# NetScaler CLI ดูรุ่น และค้น config ตามที่ Citrix ระบุในบูลเลติน
show ns version
show ns runningConfig | grep "add authentication samlAction"
show ns runningConfig | grep "add authentication vserver"
show ns runningConfig | grep "add vpn vserver"
show ns tcpparam | grep "Enhanced ISN Generation"

บรรทัดสุดท้ายเป็นของ CVE-2026-88778 ที่ Citrix ให้เปิด Enhanced ISN Generation เป็น workaround ถ้าขึ้น DISABLED และใช้ TCP-based vserver อยู่ เรื่องนี้ไม่เกี่ยวกับ KEV แต่เป็นตัวเดียวในบูลเลตินนั้นที่ปิดด้วยการตั้งค่าได้

เรื่อง session ผมหาคำแนะนำให้ kill session หรือเปลี่ยนรหัสผ่านผู้ใช้ในบูลเลตินของ Citrix ไม่เจอ ทั้ง CTX697096 และฉบับอื่นไม่ได้กล่าวถึง ผมเลยไม่ขอเขียนว่าต้องทำ ส่วนตัวผมถ้ามีหลักฐานว่าเครื่องถูกบุก การพิจารณาเปลี่ยนรหัสผ่านและ session ที่ผ่านเครื่องนั้นเป็นการตัดสินใจตามผลสืบสวนของแต่ละที่

เช็กว่าโดนหรือยัง

รายงานของ Unit 42 ระบุสิ่งที่ควรค้นดังนี้

• ไฟล์ /var/netscaler/logon/LogonPoint/custom/.ctxs.receiver (PHP web shell ของสาย 88771)
• ไฟล์ .deb ใต้ /vpn/scripts/linux/ รายงานของ Unit 42 ลงเป็น indicator สองชื่อคือ nsgclient18.deb และ nsg64.deb ส่วน nsgser18.deb, nsgsupport.deb, nsgpackage64.deb, nsgbuild.deb เป็นชื่อไฟล์ที่ผู้โจมตีขอใน request ซึ่งรายงานไม่ได้ลงในรายการ indicator ถ้าเจอไฟล์ชื่อเหล่านี้ให้เก็บหลักฐานและเทียบ hash กับรายงานก่อนสรุป เพราะโฟลเดอร์นี้ปกติเก็บตัวติดตั้ง Citrix client
• รายการ pitboss ใน /var/log/ns.log ซึ่ง Unit 42 ใช้เป็นเงื่อนไขค้นหาการฝังคำสั่ง
• request ไปที่ /logon/LogonPoint/Authentication/GetUserName ช่วง 10 ถึง 27 ก.ย. ซึ่ง Unit 42 ระบุว่าผิดปกติมาก
• ข้อควรระวัง Unit 42 เองเตือนว่าการสแกนหลังประกาศอาจไม่ตรงกับ indicator ของเหตุแรก และ pitboss ที่เจอบนเครื่องที่ยังไม่แพตช์แปลว่ามีการฝังคำสั่ง แต่ไม่ยืนยันว่าถูกรันบนเครื่องที่แพตช์แล้ว

# หลังเข้า shell ของ appliance (คำสั่ง shell จาก CLI) อ่านอย่างเดียว
ls -la /var/netscaler/logon/LogonPoint/custom/.ctxs.receiver
# /vpn/scripts/linux/ ในรายงานมาจากฝั่ง request บนเว็บ ตำแหน่งจริงบนดิสก์ผมไม่ยืนยัน เลยค้นตามชื่อไฟล์
find /var/netscaler /netscaler \( -name 'nsgclient18.deb' -o -name 'nsg64.deb' \) -print 2>/dev/null
grep -c pitboss /var/log/ns.log

# access log ที่ export ไว้ในเครื่องวิเคราะห์ นับ request ต่อไฟล์ (พาธเป็นตัวอย่าง)
for f in /srv/logs/netscaler/httpaccess-vpn.log*; do
  printf '%s ' "$f"; zgrep -c '/logon/LogonPoint/Authentication/GetUserName' "$f"
done

ถ้าเจออะไรตรงกับรายการ ให้ถือว่าเครื่องถูกบุก แยกออกจากเครือข่าย เก็บหลักฐานแล้วค่อยสืบสวน อย่าเพิ่งรีบูตหรืออัปเดตทับ

ส่วนตัวผม NetScaler ที่ทำหน้าที่ Gateway หรือ AAA เปิดออกอินเทอร์เน็ตเป็นเรื่องที่ผมไม่รอรอบบำรุงรักษา เพราะ 88771 ไม่ต้องล็อกอินและโดนตั้งแต่ค่าดีฟอลต์ และ Unit 42 เห็นการใช้ช่องโหว่ก่อนประกาศหลายสัปดาห์ ถ้าไม่มีบิลด์ใหม่ให้ลงทันที ลดการเปิดออกอินเทอร์เน็ตหรือจำกัดต้นทางไว้ก่อนเท่าที่งานรับได้ ตามความจำเป็นของแต่ละที่ ใครใช้เป็น cloud ที่ผู้ผลิตดูแลให้ไม่ต้องทำอะไร

ปล. บูลเลตินของ 8452 (CTX696604) ยังปิดอีก 5 ตัวที่ผมไม่ได้เขียนถึง เช่น CVE-2026-10816 อ่านไฟล์ได้โดยไม่ต้องล็อกอินถ้าเข้า NSIP หรือ SNIP ที่เปิด management ได้ CVE-2026-13474 ต้องตั้ง http2SmallWndTimeout เพิ่มด้วย ใครลงบิลด์ 72.61/63.18 ขึ้นไปอยู่แล้วก็ครอบคลุม แต่ข้อ HTTP/2 ต้องอ่านบูลเลตินเองครับ

ที่มา: Citrix NetScaler Security Bulletin CTX696604 (https://support.citrix.com/external/article/696604), CTX696939 (https://support.citrix.com/external/article/696939), CTX697096 (https://support.citrix.com/external/article/697096), CTX697174 (https://support.citrix.com/external/article/697174), CVE record ของ CVE-2026-8452 (https://www.cve.org/CVERecord?id=CVE-2026-8452), CVE-2026-19490, CVE-2026-88771, CVE-2026-88772 และ CVE-2026-88779 ในฐานข้อมูลเดียวกัน, CISA KEV (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), Unit 42 ของ Palo Alto Networks "NetScaler zero-days exploited" (https://unit42.paloaltonetworks.com/netscaler-zero-days-exploited) ข้อมูลถึง 5 พ.ย. 2026 ถ้ามีรายละเอียดเพิ่มหรือ Citrix แก้บูลเลตินภายหลัง เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ