실제 공격 확인된 Citrix NetScaler 원격 코드 실행 취약점

오늘의 핵심

Citrix NetScaler ADC·Gateway의 치명적 취약점 2건이 패치 공개 전부터 실제 공격에 악용됐다. 인터넷에 노출된 고객 관리형 장비를 식별해 즉시 업데이트하고 침해 흔적을 점검해야 한다.

확인된 사실

• CVE-2026-88771과 CVE-2026-88772는 각각 CVSS 9.5로 평가된 치명적 취약점이며, 패치되지 않은 NetScaler 장비를 겨냥한 실제 악용이 확인됐다. 근거 [1] [2]
• CVE-2026-88771은 추가 기능 활성화 없이 기본 구성을 포함한 NetScaler ADC·Gateway에서 인증되지 않은 공격자의 원격 명령 실행을 허용할 수 있다. 근거 [1] [2]
• CVE-2026-88772는 DTLS가 활성화된 환경에서 메모리 오버플로를 통해 원격 코드 실행 또는 서비스 거부를 유발할 수 있으며, VPN 가상 서버에서는 DTLS가 기본 활성화된다. 근거 [1] [2]
• 영향받는 주요 버전은 14.1-73.37 및 13.1-64.23 이전 릴리스이며, 일부 FIPS·NDcPP 계열도 업데이트가 필요하다. 근거 [1]
• CERT-EU는 인터넷에 노출된 영향 장비를 즉시 업데이트하고 침해 여부를 평가하라고 권고했다. 근거 [1]

왜 중요한가

• NetScaler는 외부 요청과 내부 서비스 사이의 경계에 놓이는 경우가 많아 침해 시 공격자가 내부 시스템으로 진입할 발판을 확보할 수 있다.
• 웹·앱 서비스의 인증, VPN, 트래픽 전달을 담당하는 장비가 공격받으면 정보 유출뿐 아니라 서비스 중단으로 이어질 수 있다.
• 이미 악용된 취약점이므로 정기 패치 주기를 기다리기보다 긴급 변경 절차를 적용할 필요가 있다.

inxight의 관점

• 이번 대응은 버전 업데이트만으로 끝내지 말고 패치 이전 로그와 장비 상태를 보존한 뒤 침해 여부를 함께 확인해야 한다.
• 서비스 운영팀은 NetScaler 의존 경로와 장애 우회 절차를 구성관리 자료에 명확히 기록해 긴급 업데이트에 따른 중단 위험을 줄여야 한다.
• 자체 운영 장비뿐 아니라 호스팅·MSP가 관리하는 원격접속 및 애플리케이션 전송 장비도 공급사에 버전과 조치 상태를 확인해야 한다.

실무 체크리스트

• 인터넷 노출 자산과 구성관리대장에서 NetScaler ADC·Gateway 및 Secure Private Access Hybrid용 인스턴스를 즉시 식별한다.
• 현재 빌드와 DTLS 활성화 여부를 확인하고 14.1-73.37, 13.1-64.23 또는 해당 FIPS·NDcPP 수정 버전 이상으로 업데이트한다.
• 패치 전 로그와 시스템 상태를 보존하고 공급사가 제공한 침해지표를 활용해 비정상 명령 실행, 설정 변경, 세션 활동을 점검한다.
• 즉시 업데이트할 수 없는 장비는 운영 영향을 검토하면서 인터넷 노출을 최소화하고 접근제어를 강화한다.
• 조치 후 외부 노출 점검과 서비스 정상 동작 검증을 수행하고 결과를 사고·변경관리 기록에 남긴다.