เดือนมิถุนายน 2025 นี้ ผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์ทั่วโลกอยู่ในภาวะเฝ้าระวัง หลังการเปิดเผยช่องโหว่ใหม่ของ Citrix ในชื่อ CVE‑2025‑5777 หรือ “Citrix Bleed 2” ซึ่งถูกค้นพบว่าอาจถูกใช้ในการโจมตีเพื่อขโมย session token และหลีกเลี่ยงกลไกการยืนยันตัวตนหลายชั้น (MFA) จนทำให้องค์กรที่ใช้ ซิทริกซ์ NetScaler ADC/Gateway ต้องปฏิบัติอย่างเร่งด่วนเพื่อปกป้องระบบเครือข่าย
เหตุใดช่องโหว่ใน Citrix NetScaler จึงร้ายแรง?
- ความร้ายแรง (CVSS): อยู่ในระดับสูงถึง “Critical”
- ลักษณะช่องโหว่: เป็นบั๊กแบบ out‑of‑bounds memory read ซึ่งก่อให้เกิดการอ่านข้อมูลในหน่วยความจำที่ไม่ควรอ่านได้ ส่งผลให้แฮกเกอร์สามารถ ขโมย session token หรือข้อมูลสำคัญในโทรจิติเซิร์ฟเวอร์ได้โดยไม่มีการยืนยันตัวตน
- ผลกระทบ: การได้มาซึ่ง session token ทำให้สามารถ Hijack session ที่กำลัง Active อยู่ รวมถึง bypass MFA ได้สำเร็จ
ขนาดของปัญหา โปรดอย่าชะล่าใจ
- ในช่วงเดือนมิถุนายน บริษัท Shadowserver Foundation รายงานว่าพบ ซิทริกซ์ NetScaler ซึ่งยังคงรันเวอร์ชันที่ไม่ปลอดภัยอยู่บนโลกออนไลน์กว่า 2,100 เครื่อง
- ทีมวิจัยจาก ReliaQuest ประเมินว่า แฮกเกอร์กำลังใช้ช่องโหว่นี้โจมตี โดยเฉพาะในการบุกรุกองค์กร อาศัยเว็บ session ที่ถูกขโมยแล้วแก้ MFA และเข้าถึงระบบโดยไม่ต้องใช้ credential มาก่อน
- แม้ Citrix ยังไม่มีหลักฐานการโจมตีจากช่องโหว่นี้ในวงกว้าง แต่ Advisory ล่าสุดยังเตือนให้ “Terminate session ทุกครั้งหลังอัปเดตแพตช์”
นอกจากนี้ ยังมีช่องโหว่เดิม CVE‑2025‑6543 ที่ทำให้ระบบ DoS ได้ หากถูกโจมตีพร้อมกันก็อาจทำให้องค์กรล่มได้อีกทาง
อะไรคือ “Citrix Bleed 2”?
การตั้งชื่อ “Bleed” มาจากลักษณะคล้ายกับ ซิทริกซ์ Bleed ที่เกิดขึ้นในปี 2023 (CVE‑2023‑4966) ซึ่งสามารถขโมยรหัสผ่าน, session token และภายหลังนำไปสู่การโจมตีด้วย ransomware ต่อองค์กรและหน่วยงานรัฐ
การตั้งชื่อ “Bleed” มาจากลักษณะคล้ายกับ ซิทริกซ์ Bleed ที่เกิดขึ้นในปี 2023 (CVE‑2023‑4966) ซึ่งสามารถขโมยรหัสผ่าน, session token และภายหลังนำไปสู่การโจมตีด้วย ransomware ต่อองค์กรและหน่วยงานรัฐ
- อ่านข้อมูลที่เก็บใน memory บางส่วน
- ได้ session token ที่ยังใช้งานอยู่
- ทำให้ bypass MFA และล็อกอินผ่าน VPN Gateway หรือ Remote Desktop ได้
สรุปคือ Bleed 2 เพิ่มความง่ายในการโจมตีขั้นพื้นฐาน และมีผลกระทบต่อองค์กรขนาดกลางถึงใหญ่ที่ใช้ ซิทริกซ์ Appliance
วิธีตรวจสอบ และรับมือเบื้องต้น
1. ตรวจสอบเวอร์ชัน
ซิทริกซ์ แนะนำให้ อัปเดต เป็นเวอร์ชันที่ปลอดภัยดังนี้
- 14.1-43.56+
- 13.1-58.32+
- 13.1-FIPS/NDcPP 13.1-37.235+
ไม่ว่าคุณใช้ ADC หรือ Gateway รุ่นไหน ให้รีบตรวจสอบและอัปเดตทันที
2. ปิด session เดิมทั้งหมด
ซิทริกซ์ แนะนำให้ อัปเดต เป็นเวอร์ชันที่ปลอดภัยดังนี้
หลังติดตั้งแพตช์เสร็จ ให้ใช้คำสั่ง
bash CopyEdit kill icaconnection -all kill pcoipconnection -all
หรือปิดผ่าน UI ใน NetScaler เพื่อป้องกันการใช้ข้อมูล session ที่หลงเหลือ
3. ตรวจสอบ Log และ Behavior
- สั่ง show icaconnection<เพื่อตรวจสอบ session ที่อาจถูก hijack
- ตรวจหา IP แปลกและพฤติกรรมที่เข้าถึง LDAP/AD อย่างผิดปกติ
4. ใช้ Firewall/ACL เพื่อจำกัดการเข้าถึง
-
หากยังไม่ทันติดตั้งแพตช์ ให้ บล็อค IP สาธารณะ ผ่าน ACL หรือ Firewall ระหว่างเครือข่ายกับ Internet
บทเรียนจาก Citrix Bleed ในอดีต
ในปี 2023 ช่องโหว่ ซิทริกซ์ Bleed เดิมช่วยให้แฮกเกอร์เข้าถึงระบบภายในองค์กรและใช้เป็นจุดเริ่มต้นของ ransomware และการ Espionage หลายปีก่อน เช่น การโจมตีรัฐบาลระดับชาติ
ซิทริกซ์ จึงเน้นย้ำว่า “ห้ามใช้ session เดิมหลังแพตช์” เพราะอาจถูก hijack ก่อนถึงเวลาสำเร็จ