기업 네트워크 접속에 널리 쓰이는 Citrix NetScaler 장비에서 심각한 인증 우회(로그인 절차를 건너뛰는) 취약점(CVE-2026-19490)이 발견되었고, 실제 공격자들이 이 취약점을 악용하기 시작했습니다. 공격자가 이 취약점을 이용하면 아이디·비밀번호 없이도 원격으로 시스템에 접근할 수 있어 매우 위험합니다. 현재 인터넷에 노출된 NetScaler 장비가 약 2만 4,000대에 달하는 것으로 파악되며, 벨기에 국가 사이버보안센터도 즉각 패치를 촉구했습니다. Citrix는 8월 중순에 이미 보안 업데이트를 배포했으므로, NetScaler를 운영하는 조직은 지금 즉시 최신 버전으로 업그레이드해야 합니다.
Citrix NetScaler의 인증 우회 취약점(CVE-2026-19490)에 대한 개념 증명(PoC) 익스플로잇이 공개된 직후, 호주·미국·독일에서 발생한 IP로부터 실제 공격 시도가 탐지되었습니다.
AAA 가상 서버 또는 Gateway(SSL VPN, ICA Proxy, CVPN, RDP Proxy)로 구성된 NetScaler 장비에서 인증 없이 원격 접근이 가능해지며, 인터넷에 노출된 장비가 약 2만 4,000대에 달해 피해 규모가 클 수 있습니다.
NetScaler 펌웨어의 인증 처리 로직 결함으로 인해 특정 구성에서 인증 절차를 우회할 수 있으며, 신뢰할 수 있는 PoC 코드가 온라인에 공개되면서 공격이 가속화되었습니다.
Citrix는 8월 19일 보안 공지를 통해 패치를 배포했으며, 벨기에 국가 사이버보안센터(NCC-BE)도 취약한 모든 NetScaler 장비의 즉각 패치를 촉구했습니다. CISA는 과거 유사 취약점(CVE-2026-3055) 발생 시 연방기관에 3일 이내 패치를 명령한 전례가 있습니다.
NetScaler ADC 및 Gateway 장비를 운영 중인 조직은 공식 보안 권고문을 즉시 확인하고 권장 빌드로 업그레이드해야 합니다. Citrix 취약점은 과거에도 랜섬웨어 그룹이 악용한 사례가 6건 있어 신속한 대응이 필수입니다.
본문
취약점 인텔리전스 기업 Previdian에 따르면, 공격자들이 실제 환경에서 심각도 긴급(Critical)으로 분류된 Citrix NetScaler 결함을 표적으로 삼기 시작했습니다.
CVE-2026-19490으로 추적되는 이 보안 결함은, NetScaler 펌웨어 버전 및 SAML Action 구성 여부에 따라 NetScaler 어플라이언스가 AAA 가상 서버 또는 Gateway(SSL VPN, ICA Proxy, CVPN, RDP Proxy)로 구성된 경우, 권한 없는 공격자가 원격으로 인증을 우회할 수 있게 합니다.
Citrix는 8월 중순 해당 결함을 수정하면서 "고객들이 공식 NetScaler ADC 및 NetScaler Gateway 보안 권고문을 검토하고, 자사 배포 환경의 영향 여부를 파악한 후, 가능한 한 빨리 영향받는 어플라이언스를 권장 빌드로 업그레이드할 것을 강력히 권고한다"고 경고하며 관리자들에게 즉각적인 패치를 촉구했습니다.
회사는 8월 19일 보안 권고에서 아직 이 취약점을 적극적으로 악용 중이라고 표시하지 않았지만, Previdian 창립자이자 보안 연구원인 Ryan Dewhurst는 목요일 BleepingComputer에 "신뢰할 수 있는" 개념 증명(PoC) 익스플로잇이 온라인에 공개된 후 공격자들이 실제 환경에서 CVE-2026-19490을 표적으로 삼기 시작했다고 밝혔습니다.
Dewhurst는 BleepingComputer에 "9월 3일, 저희의 NetScaler 센서 중 하나가 호주, 미국, 독일에 위치한 세 개의 서로 다른 출처 IP로부터 PoC와 일치하는 요청을 수신했습니다"라고 전했습니다.
"현재 저희 평가로는, 이것이 익스플로잇 시도에 대한 증거를 제공하지만, 실제 시스템의 성공적인 침해를 확인하지는 않습니다."
벨기에의 사이버보안 센터이자 국가 사이버보안 조정 센터(NCC-BE)도 금요일에 CVE-2026-19490 취약점을 표적으로 한 익스플로잇 시도에 대해 경고하며 관리자들에게 조직 네트워크상의 취약한 모든 Citrix NetScaler 어플라이언스 패치를 우선시할 것을 촉구했습니다.
인터넷 위협 감시 기관 Shadowserver는 온라인에 노출된 22,000대 이상의 NetScaler ADC 어플라이언스와 약 1,700개의 Gateway 인스턴스를 추적하고 있지만, 이 중 얼마나 많은 수가 허니팟이거나, 취약한 구성을 가지고 있거나, 이미 CVE-2026-19490 공격에 대한 패치가 적용되었는지에 대한 정보는 없습니다.
Citrix는 3월에 관리자들에게 두 개의 다른 NetScaler 결함(CVE-2026-3055 및 CVE-2026-4368)을 패치하도록 촉구했으며, 며칠 후 위협 행위자들이 이를 공격에 악용하기 시작했습니다.
미국 사이버보안 및 인프라 보안국(CISA)은 일주일 후 CVE-2026-3055 결함을 적극적으로 악용된 취약점 목록에 추가하고, 연방 기관들에 3일 이내에 취약한 Citrix 어플라이언스를 패치하도록 명령했습니다.
2021년 11월 이후 미국 사이버보안 기관은 23개의 Citrix 취약점을 실제 악용 사례로 지정했으며, 그 중 6개는 랜섬웨어 갱단에 의해서도 악용되었습니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
