Cloud Software Group ออก Security Bulletin CTX696734 เมื่อวันที่ 14 กรกฎาคม 2026 เพื่อเปิดเผยช่องโหว่ความปลอดภัย 2 รายการใน Citrix Secure Access Client for Windows และ Citrix Endpoint Analysis Client for Windows โดยช่องโหว่ที่รุนแรงกว่า (CVE-2026-53565) อนุญาตให้ผู้ใช้ที่มีสิทธิ์ต่ำสุดในระบบ ยกระดับสิทธิ์ตัวเองขึ้นเป็น SYSTEM ได้ โดยไม่ต้องมีการกระทำใด ๆ จากผู้ใช้รายอื่น
Citrix เป็นผลิตภัณฑ์ VPN และ Remote Access ที่ใช้งานอย่างแพร่หลายในองค์กรทั่วโลก รวมถึงในประเทศไทย การค้นพบช่องโหว่ระดับนี้จึงต้องการการ Patch โดยเร่งด่วน
รายละเอียดช่องโหว่ทั้งสองรายการ
CVE-2026-53565 — Privilege Escalation สู่ SYSTEM (Critical)
CVSS v4.0 Score: 8.5 (High)
CWE: CWE-269 Improper Privilege Management
นี่คือช่องโหว่ที่อันตรายกว่าในสองรายการ เกิดจากการจัดการสิทธิ์ที่ไม่เหมาะสมใน Citrix Client ทำให้ผู้ใช้ที่มีสิทธิ์ระดับ Standard User ในระบบ Windows สามารถ ยกระดับสิทธิ์ตัวเองขึ้นเป็น SYSTEM ได้ ซึ่ง SYSTEM คือระดับสิทธิ์สูงสุดบน Windows เทียบเท่ากับการครอบครองเครื่องทั้งเครื่องอย่างสมบูรณ์
เงื่อนไขการโจมตี:
- ต้องมี Local Access บนเครื่องเป้าหมาย (ไม่ต้อง Remote)
- ใช้ User ทั่วไป ที่มีสิทธิ์ต่ำสุด (Low Privilege)
- ความซับซ้อนของการโจมตี: ต่ำมาก (Low Complexity)
- ไม่ต้องการ User Interaction จากผู้ใช้รายอื่น
ผลกระทบ: ส่งผลต่อ Confidentiality, Integrity และ Availability อย่างสมบูรณ์
Software ที่ได้รับผลกระทบ:
- Citrix Secure Access Client for Windows ทุกเวอร์ชันก่อน 26.6.1.20
- Citrix Endpoint Analysis Client for Windows ทุกเวอร์ชันก่อน 26.5.1.7
CVE-2026-53566 — Out-of-Bounds Read (Medium-High)
CVSS v4.0 Score: 6.8 (Medium)
CWE: CWE-125 Out-of-Bounds Read
ช่องโหว่ที่สองเป็น Out-of-Bounds Memory Read ที่ส่งผลกระทบเฉพาะ Citrix Secure Access Client for Windows เท่านั้น และมีเงื่อนไขพิเศษคือต้องการให้ DNE (Deterministic Network Enhancer) Driver ไม่ถูกติดตั้ง บนเครื่องเป้าหมาย
ผลกระทบของช่องโหว่นี้จำกัดอยู่ที่ Confidentiality เท่านั้น ไม่ส่งผลต่อการเปลี่ยนแปลงข้อมูลหรือ Availability ของระบบ แต่ยังถือว่าต้องได้รับการ Patch เนื่องจากสามารถเปิดเผยข้อมูลในหน่วยความจำได้
ใครได้รับผลกระทบบ้าง
CVE-2026-53565 ส่งผลกระทบต่อทุกองค์กรที่ใช้ Citrix Secure Access Client หรือ Endpoint Analysis Client บน Windows โดยเฉพาะ Environment ที่มีความเสี่ยงสูง ได้แก่
- Shared Workstation ที่ผู้ใช้หลายคนใช้เครื่องเดียวกัน
- VDI Environment (Virtual Desktop Infrastructure) ที่ User มี Local Access ต่ำ
- BYOD Setup ที่อุปกรณ์ส่วนตัวเชื่อมต่อผ่าน Citrix Gateway
- Call Center และ Helpdesk ที่มีการให้ Standard User Access จำนวนมาก
เนื่องจาก CVE-2026-53565 ไม่ต้องการเงื่อนไขพิเศษใด ๆ นอกจาก Local User Access ทำให้ ทุก Deployment ของ Citrix Client ที่ไม่ได้ Patch ถือว่ามีความเสี่ยง
ทำไม Privilege Escalation ถึงอันตรายมากในบริบทองค์กร
ช่องโหว่ยกระดับสิทธิ์ดูเหมือนจะ "ต้องมีคนอยู่ในเครื่องก่อน" ซึ่งบางคนอาจมองว่าความเสี่ยงไม่สูง แต่ในความเป็นจริงนั้น Privilege Escalation เป็นขั้นตอนสำคัญใน Attack Chain เกือบทุกรูปแบบ
ผู้โจมตีมักได้ Access เริ่มต้นแบบ Low-privilege ก่อน ไม่ว่าจะผ่าน Phishing, Malicious Attachment, Insider Threat หรือ Guest Account ที่ถูก Compromise จากนั้นจึงใช้ช่องโหว่ Privilege Escalation เพื่อยกระดับสิทธิ์
เมื่อได้สิทธิ์ SYSTEM แล้ว ผู้โจมตีสามารถ:
- อ่านและแก้ไขไฟล์ทุกไฟล์ในระบบ รวมถึง Credential Store
- ติดตั้ง Backdoor ที่ต้องการ SYSTEM Privilege ในการทำงาน
- Disable Security Software ที่ทำงานในระดับ SYSTEM
- ทำ Lateral Movement ต่อยอดไปยังเครื่องอื่นในเครือข่าย
- Dump Credential จาก LSASS หรือ Credential Manager
เวอร์ชันที่ได้รับผลกระทบและการ Fix
ซอฟต์แวร์เวอร์ชันที่มีช่องโหว่เวอร์ชันที่แก้ไขแล้วCitrix Secure Access Client for Windowsก่อนหน้า 26.6.1.2026.6.1.20 ขึ้นไปCitrix Endpoint Analysis Client for Windowsก่อนหน้า 26.5.1.726.5.1.7 ขึ้นไป
ผู้ค้นพบช่องโหว่ทั้งสองรายการคือ Carlos Garrido จาก Pentraze Cybersecurity ซึ่งรายงานผ่านกระบวนการ Responsible Disclosure ให้ Citrix ก่อนเปิดเผยต่อสาธารณะ
ผลกระทบที่อาจเกิดขึ้น
- Standard User ที่ถูก Compromise ผ่าน Phishing สามารถยกระดับสิทธิ์ขึ้นเป็น SYSTEM ได้ทันทีบนเครื่องที่ติดตั้ง Citrix Client
- Insider Threat จากพนักงานที่มีสิทธิ์ต่ำแต่ต้องการเข้าถึงข้อมูลที่ไม่ได้รับอนุญาต
- VDI Session Hijacking ในสภาพแวดล้อมที่ผู้ใช้หลายคน Share Virtual Desktop
- Ransomware Deployment ที่ต้องการสิทธิ์ SYSTEM ในการ Disable Security Service ก่อนเข้ารหัส (เช่นเดียวกับ Spirals ที่รายงานในฉบับเดียวกัน)
- Credential Theft จาก Windows Credential Manager หรือ Browser Credential ที่เก็บในระดับ SYSTEM
สิ่งที่องค์กรควรดำเนินการทันที
- อัปเดต Citrix Client โดยเร็วที่สุด
- Citrix Secure Access Client for Windows → เวอร์ชัน 26.6.1.20 หรือสูงกว่า
- Citrix Endpoint Analysis Client for Windows → เวอร์ชัน 26.5.1.7 หรือสูงกว่า
- ทำ Inventory ว่าในองค์กรมีเครื่องไหนบ้างที่ติดตั้ง Citrix Client เวอร์ชันเก่า โดยเฉพาะในสภาพแวดล้อม VDI และ Shared Workstation
- ตรวจสอบ DNE Driver บนเครื่องที่ใช้ Citrix Secure Access เพื่อประเมินความเสี่ยงของ CVE-2026-53566 ตาม Documentation ของ Citrix
- Monitor Privilege Escalation ใน Windows Event Log โดยเฉพาะ Event 4672 (Special Privilege Logon) และ 4648 (Explicit Credential Logon) ที่ผิดปกติ
- จำกัด Local Admin Access บนเครื่องที่ติดตั้ง Citrix Client และทบทวน Policy ว่า Standard User จำเป็นต้องมีสิทธิ์อะไรบ้าง
แนวทางลดความเสี่ยงระยะยาว
1. ใช้ Privileged Access Management (PAM)
แยก Account ที่มีสิทธิ์สูงออกจาก Account ประจำวัน และใช้ Just-in-Time Privilege เพื่อให้สิทธิ์เมื่อจำเป็นเท่านั้น
2. เปิด Windows Defender Credential Guard และ LSA Protection
ลดโอกาสในการใช้ Privilege ที่ได้มาเพื่อขโมย Credential เพิ่มเติม
3. ติดตาม Security Bulletin ของ Citrix อย่างสม่ำเสมอ
Citrix เป็น Software ที่อยู่บน Perimeter ขององค์กร และตกเป็นเป้าหมายของผู้โจมตีบ่อยครั้ง การ Subscribe Security Advisory และมีกระบวนการ Patch ที่รวดเร็วเป็นสิ่งจำเป็น
4. ทำ Vulnerability Scanning ครอบคลุม Endpoint
ตรวจสอบ Third-party Software เช่น Citrix Client ด้วยเครื่องมือ Vulnerability Scanner เพราะช่องโหว่มักถูกค้นพบใน Software ที่ไม่ได้อยู่ใน Focus หลักของ Patch Management
5. Network Segmentation สำหรับ VDI
ถ้าใช้ VDI ควรแยก VDI Pool ตามระดับ Sensitivity ของงาน และจำกัดการ Communicate ข้าม Pool
วิเคราะห์ในมุมมองจาก TXEC
CVE-2026-53565 เป็นตัวอย่างที่ดีของสิ่งที่เรียกว่า "Assumed Breach" Mindset ซึ่งสมมติว่าผู้โจมตีจะเจาะเข้าระบบได้ในระดับ Standard User อยู่แล้ว คำถามคือจะยับยั้งไม่ให้พวกเขาขยายสิทธิ์ต่อได้อย่างไร
ในบริบทขององค์กรไทย Citrix ถูกใช้งานอย่างแพร่หลายทั้งในภาครัฐและเอกชน โดยเฉพาะในองค์กรที่มี Remote Worker หรือสาขาที่ต้องการเชื่อมต่อกลับมายังระบบกลาง ความเสี่ยงจึงไม่ได้จำกัดเฉพาะเครื่องผู้ใช้ปลายทาง แต่รวมถึง Session ที่เชื่อมต่อกลับมาถึงระบบสำคัญขององค์กรด้วย
การ Patch โดยเร็วที่สุดคือคำตอบที่ตรงไปตรงมาที่สุดสำหรับช่องโหว่นี้
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: Cloud Software Group Security Bulletin CTX696734, CyberSecurityNews, CyberPress, GBHackers, Pentraze Cybersecurity ]