미국 CISA(사이버보안·인프라보안국)가 Citrix NetScaler ADC·Gateway 제품의 심각한 취약점 두 개가 실제 공격에 악용되고 있다며 '실제 악용 확인 목록(KEV)'에 등록했습니다. 두 취약점 모두 CVSS 점수 9.5로 매우 위험하며, 인증 절차 없이도 공격자가 시스템 명령을 마음대로 실행하거나 서비스를 마비시킬 수 있습니다. Citrix는 이미 패치 버전을 배포했고, 침해가 의심되면 장비 격리, 자격증명 교체, 인증서 재발급 등 세부 대응 절차도 안내했습니다. 미국 연방 행정기관은 2026년 9월 30일까지 패치를 완료해야 하며, 일반 기업도 서둘러 조치가 필요합니다.
CISA가 Citrix NetScaler ADC 및 Gateway의 심각한 취약점 CVE-2026-88771, CVE-2026-88772가 전 세계에서 실제로 악용되고 있음을 확인하고 KEV(실제 악용 확인 목록)에 등재했다.
CVE-2026-88771은 인증 없이도 임의 명령 실행이 가능하며 모든 NetScaler ADC/Gateway 배포에 영향을 준다. CVE-2026-88772는 DTLS 설정이 켜진 경우(VPN 가상서버는 기본 활성화) 원격 코드 실행이나 서비스 거부(DoS)로 이어질 수 있다.
NetScaler 제품의 입력값 검증 미흡과 메모리 버퍼 처리 오류로 인한 취약점이다.
Citrix는 두 취약점 모두 수정된 버전(14.1-73.37 이상, 13.1-64.23 이상 등)을 배포했고, 침해 흔적 탐지를 위한 IoC(침해지표)도 NetScaler Console을 통해 제공한다. 침해가 의심되면 증거 보존, 장비 격리, 자격증명 및 접근권한 폐기, 연결된 시스템 조사, 펌웨어 재구축, 비밀번호·키·인증서 교체 등을 수행해야 한다.
미국 연방 행정기관(FCEB)은 2026년 9월 30일까지 패치를 마쳐야 하며, 일반 기업도 인터넷에 노출된 NetScaler 장비를 최우선으로 점검·패치해야 한다.
본문
Ravie Lakshmanan 2026년 9월 28일 취약점 / 네트워크 보안
미국 사이버보안·인프라보안국(CISA)은 일요일, Citrix NetScaler ADC 및 Gateway의 심각한 취약점 두 건을 실제 악용 확인 목록(Known Exploited Vulnerabilities, KEV) 카탈로그에 추가했다. 이는 실제 악용 사례가 보고된 데 따른 조치다.
해당 취약점은 다음과 같다 -
- CVE-2026-88771 (CVSS 점수: 9.5) - 입력값 검증이 미흡한 취약점으로, 인증되지 않은 공격자가 임의의 명령을 실행할 수 있다.
- CVE-2026-88772 (CVSS 점수: 9.5) - 메모리 버퍼 내 작업 범위 제한이 미흡한 취약점으로, 원격 코드 실행(RCE)이나 서비스 거부(DoS)로 이어질 수 있다.
CVE-2026-88771은 모든 NetScaler ADC 및 NetScaler Gateway 배포에 영향을 미치는 반면, CVE-2026-88772는 NetScaler ADC 또는 NetScaler Gateway에서 DTLS 설정이 활성화되어 있어야 하며, 이는 VPN 가상서버에서는 기본적으로 켜져 있는 옵션이다. 관련 설정은 다음과 같다 -
add vpn vserver vpn1 SSL 10.0.0.0 443 -Listenpolicy NONE
두 문제 모두 아래 버전에서 해결되었다 -
- Citrix NetScaler ADC 및 Citrix NetScaler Gateway 14.1-73.37 이상 릴리스
- Citrix NetScaler ADC 및 Citrix NetScaler Gateway 13.1-64.23 이상의 13.1 릴리스
- Citrix NetScaler ADC 14.1-FIPS 14.1-73.37 FIPS 이상의 14.1-FIPS 릴리스
- Citrix NetScaler ADC 13.1-FIPS 및 13.1-NDcPP 13.1.37.279 이상의 13.1-FIPS 및 13.1-NDcPP 릴리스
"CISA는 위협 행위자들이 전 세계적으로 이 취약점들을 실제로 악용하고 있음을 확인하는 보고와 파트너 위협 인텔리전스를 접수했다"고 해당 기관은 밝혔다.
"Citrix NetScaler 장비를 업데이트하는 작업은 복잡할 수 있고 다운타임이 필요할 수 있기 때문에, CISA는 조직이 노출 정도를 평가하고 완화 조치의 우선순위를 정하며 이러한 취약점을 위험 관리 활동에 반영할 수 있도록 이 경보를 발령한다."
Citrix는 또한 고객이 자사 배포 환경이 영향을 받았는지 확인할 수 있도록 NetScaler Console을 통해 일반적인 침해 지표(IoC)를 제공하고 있다. 침해가 의심되는 경우, 고객은 환경을 보호하기 위해 다음 단계를 수행할 것을 권장받는다 -
- NetScaler ADC VPX 인스턴스의 증거를 보존한다.
- 장비를 격리한다.
- 자격증명과 접근 권한을 폐기한다.
- NetScaler ADC가 연결되어 있던 모든 서버와 시스템에서 추가 침해 징후를 조사한다.
- 펌웨어를 재구축하고 최신 버전으로 업데이트한다.
- 정상 상태의 NetScaler 백업에서 복원하는 경우, 모든 로컬 계정 비밀번호와 키 암호화 키(KEK)를 교체하고 복원된 모든 SSL 인증서를 교체한다.
- 모범 사례에 따라 장비를 강화한다.
실제 악용이 확인됨에 따라, 연방 민간 행정기관(FCEB)에는 2026년 9월 30일까지 해당 수정 사항을 적용하도록 시한이 주어졌다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
