미국 정부 사이버보안 기관 CISA가 실제로 악용되고 있는 Citrix NetScaler 취약점 두 건에 대해 연방기관들에게 수요일까지 패치를 완료하라는 긴급 명령을 내렸습니다. 이 취약점들(CVE-2026-88771, CVE-2026-88772)은 로그인 없이도 공격자가 NetScaler 장비에서 원격으로 임의 코드를 실행할 수 있게 해주는 심각한 결함으로, 기본 설정 상태에서도 공격에 노출됩니다. Citrix는 이미 실제 공격 사례를 확인했다며 즉각적인 패치를 촉구했고, 보안 위협 감시업체 Shadowserver에 따르면 전 세계적으로 2만 3천 개가 넘는 NetScaler 장비가 인터넷에 노출되어 있는 것으로 나타났습니다. Citrix는 침해 여부를 확인할 수 있는 지표(IoC)도 공개했지만, 이 지표만으로는 실제 침해를 완벽히 찾아내지 못할 수 있다고 경고했습니다. 올해 들어 Citrix NetScaler와 관련된 취약점이 잇따라 실제 공격에 악용되고 있어, 관련 장비를 운영하는 기업은 우선순위로 점검이 필요합니다.
CISA가 실제 악용 중인 Citrix NetScaler 취약점 2건(CVE-2026-88771, CVE-2026-88772)에 대해 연방 민간기관에 9월 30일까지 패치를 의무화했다.
인증 없이 원격 코드 실행이 가능해 공격자가 NetScaler ADC 및 Gateway 장비를 완전히 장악할 수 있으며, 전 세계 2만 3천여 대의 장비가 인터넷에 노출된 상태다.
NetScaler ADC/Gateway의 기본 설정 및 DTLS 기능 활성화 상태에서 발생하는 메모리 버퍼 처리 및 입력 검증 관련 결함이 원인이다.
Citrix는 보안 업데이트를 배포하고 침해지표(IoC)를 NetScaler Console을 통해 공개했으며, CISA는 KEV 목록에 등재하고 연방기관에 긴급 패치 명령(BOD 26-04)을 내렸다.
패치 적용 시 포렌식 증거가 사라질 수 있으므로, 침해가 의심되면 패치 전에 증거 보존과 침해 여부 확인을 먼저 수행해야 한다.
본문
미국 사이버보안 및 인프라보안청(CISA)이 주말 동안 미국 정부 기관들에게 두 건의 심각한 Citrix NetScaler 취약점을 악용하는 공격으로부터 시스템을 보호하라는 명령을 내렸다.
Citrix는 국가 사이버보안 기관, IT 공급업체, 보안팀들이 NetScaler 고객들에게 개인적으로 연락해 NetScaler 장비를 종료하라고 권고하기 시작한 지 며칠 만에 해당 결함(CVE-2026-88771 및 CVE-2026-88772로 추적)을 해결하는 보안 업데이트를 배포했다.
예를 들어, 네덜란드 국가 사이버보안센터(NCSC-NL)는 위협 행위자들이 셸코드를 메모리에 직접 삽입할 수 있게 해주는 CVE ID가 없는 두 건의 NetScaler 제로데이에 대해 네덜란드 내 조직들에게 경고한 것으로 알려졌다.
일요일, Citrix는 두 취약점에 대한 제로데이 공격의 실제 악용을 확인했으며 고객들에게 즉시 시스템을 패치하라고 촉구했다.
두 결함 모두 인증되지 않은 공격자가 취약한 NetScaler 장비에서 원격 코드 실행 권한을 획득할 수 있게 한다. 첫 번째 결함은 기본 설정 상태의 모든 NetScaler ADC 및 NetScaler Gateway 배포에 영향을 미치며, 두 번째 결함은 DTLS가 활성화되어 있어야 하는데(Citrix는 DTLS가 VPN 가상 서버에서 기본적으로 켜져 있다고 밝혔다) 영향을 받는다.
"완화 조치가 적용되지 않은 NetScaler 배포에서 CVE-2026-88771 및 CVE-2026-88772의 악용이 관측되었습니다. Citrix는 영향을 받는 고객들에게 가능한 한 빨리 관련 업데이트 버전을 설치할 것을 강력히 권고합니다." Citrix는 검색엔진이 해당 페이지를 색인하지 못하도록 하는 'noindex' 메타 태그가 포함된 일요일 블로그 게시글에서 이렇게 경고했다.
"이 취약점들은 배포 구성과 활성화된 기능에 따라 다르며, 특정 조건에서 원격 코드 실행, 서비스 거부, HTTP 요청 스머글링, 정책 우회, TCP 초기 시퀀스 번호 예측을 허용할 수 있는 문제들을 포함합니다."
Citrix는 또한 보안팀이 이미 침해되었을 수 있는 NetScaler 배포를 식별하는 데 도움을 주기 위해 "일반적인 침해지표(IoC)"라고 설명하는 것을 NetScaler Console을 통해 공유했다. 하지만 이 IoC들이 "법의학적 가치가 제한적일 수 있으며 실제 침해를 식별하지 못할 수 있다"고 경고하며, 고객들에게 "숙련된 포렌식 조사관의 서비스를 이용할 것"을 권고했다.
현재 위협 감시업체 Shadowserver는 인터넷에 노출된 NetScaler 지문을 가진 2만 3천 개가 넘는 IP 주소를 추적하고 있다(약 2만 2천 대의 NetScaler ADC 장비와 1,500대를 조금 넘는 Gateway 인스턴스 포함). 다만 이 중 얼마나 많은 수가 허니팟인지, 이미 패치되었는지, 취약한 구성을 가지고 있는지에 대한 정보는 없다.
인터넷에 노출된 NetScaler 인스턴스 지도 (Shadowserver)
일요일, CISA는 또한 CVE-2026-88771과 CVE-2026-88772를 알려진 악용 취약점(KEV) 카탈로그에 추가하고, 구속력 있는 운영 지침(BOD) 26-04에 따라 연방 민간 행정기관(FCEB)들에게 9월 30일까지 취약한 모든 Citrix 장비를 보호할 것을 명령했다.
"성공적인 악용의 잠재적 결과와 악의적인 행위자들이 이 취약점들 중 최소 일부를 악용하고 있다는 사실을 고려할 때, CISA는 사용자와 관리자들에게 Citrix의 권고사항을 검토할 것을 촉구합니다." 사이버보안 기관은 이렇게 경고했다.
"가능하다면, 사용자들은 패치를 적용하기 전에 침해 징후를 확인할 것을 권장합니다. Citrix는 NetScaler Console을 통해 침해지표를 제공하고 추가 지침을 발표했습니다. 조직에서 침해가 의심되는 경우, 업데이트 적용 시 포렌식 가시성이 손실될 수 있으므로 업데이트를 적용하기 전에 포렌식 증거를 보존하는 것이 중요합니다."
이 두 결함은 올해 초부터 공격자들이 실제로 악용해 온 여러 Citrix 취약점 중 가장 최근 사례일 뿐이다.
지난 3월, Citrix는 위협 행위자들이 공격에 악용하기 시작하기 며칠 전 관리자들에게 다른 두 건의 NetScaler 결함(CVE-2026-3055 및 CVE-2026-4368)을 패치하라고 촉구했다. 더 최근인 9월 초에는, 공격자들이 8월 중순에 패치된 NetScaler 인증 우회 취약점(CVE-2026-19490)을 악용하기 시작했다.
2021년 11월 이후, CISA는 랜섬웨어 조직에 의해 악용된 6건을 포함해 26건의 실제 악용된 Citrix 취약점을 플래그했다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
