CISA ใส่ NetScaler CVE-2026-19490 ใน KEV แล้ว — แพตช์ด่วนก่อน 12 ก.ย. (โจมตีจริงตั้งแต่ 3 ก.ย.)
ถ้าบริษัทคุณมี VPN / remote access ผ่าน Citrix NetScaler นี่คือรอบที่ทีม infra ควรแพตช์แบบฉุกเฉินครับ
เมื่อ 9 ก.ย. 2026 CISA ใส่ CVE-2026-19490 ลง Known Exploited Vulnerabilities (KEV) และกำหนดให้หน่วยงานพลเรือนของรัฐบาลสหรัฐฯ แพตช์ภายใน 12 ก.ย. 2026 ตามรายงานของ SecurityWeek และ The Hacker News
ช่องโหว่นี้คืออะไร
CVE-2026-19490 เป็นช่องโหว่ authentication bypass (ข้ามขั้นตอนล็อกอิน) คะแนนประมาณ CVSS 9.3
กระทบ NetScaler ADC และ NetScaler Gateway เมื่อตั้งค่าเป็น:
- Gateway เช่น SSL VPN, ICA Proxy, CVPN, RDP Proxy
- หรือ AAA virtual server
แปลง่าย ๆ: เครื่องที่เปิดทางเข้าองค์กรจากนอก ถ้ายังไม่แพตช์ อาจถูกข้ามการยืนยันตัวตนได้โดยไม่ต้องมีรหัสผ่านที่ถูกต้อง
Citrix ออกแพตช์ใน bulletin CTX696939 ตั้งแต่วันที่ 19 ส.ค. 2026 และระบุ mitigation เพิ่มว่าไม่มี (ต้องอัปเกรด)
หลักฐานว่ามีโจมตีจริง
- มีการสังเกตการโจมตีอย่างน้อยตั้งแต่ 3 ก.ย. 2026 หลังมี PoC โผล่
- Previdian รายงานว่าเซ็นเซอร์เจอคำขอโจมตีจากหลายประเทศ
- The Hacker News อ้างตัวเลขจาก Previdian ว่ามีการพยายามราว 56 ครั้ง ตั้งแต่ 3 ก.ย. โดย 36 ครั้ง เกิดในวัน 8 ก.ย. เพียงวันเดียว
ผมไม่ลงรายละเอียด payload หรือขั้นตอนโจมตีในบทความนี้
เวอร์ชันที่ควรไปให้ถึง
ตาม advisory ของ Citrix ให้ไปที่สายที่แก้แล้ว เช่น:
- NetScaler ADC / Gateway 14.1-73.32 ขึ้นไป
- สาย 13.1-63.21 ขึ้นไป
- รวมสาย FIPS / NDcPP ตามที่ bulletin ระบุ
ถ้าคุณไม่แน่ใจว่าเครื่องเข้าเงื่อนไขหรือไม่ ให้ทีมตรวจคอนฟิกว่ามี VPN/AAA vserver หรือ SAML action ตามที่ Citrix อธิบายใน CTX696939
ใครควรสนใจ
- ทีม IT / SOC ที่ดูแล remote access ของบริษัท
- พนักงานที่เข้าออฟฟิศผ่าน NetScaler Gateway — ถามทีมว่าแพตช์แล้วหรือยัง
- ผู้ให้บริการ MSP ที่ดูแล NetScaler ให้ลูกค้าหลายราย
Recap
- CVE-2026-19490 = authentication bypass บน NetScaler ADC/Gateway (CVSS 9.3)
- CISA ใส่ KEV 9 ก.ย. 2026 กำหนดแพตช์หน่วยงานรัฐภายใน 12 ก.ย.
- มีโจมตีจริงอย่างน้อยตั้งแต่ 3 ก.ย. 2026
- ทางแก้หลักคืออัปเกรดตาม CTX696939 ไม่มี mitigation แทนแพตช์