Citrix 관리자들, 실제 악용 중인 두 제로데이 취약점으로 NetScaler 종료 권고 받아

한 줄 요약

Citrix NetScaler 장비에서 패치가 없는 두 개의 제로데이(zero-day, 아직 수정되지 않은 신규 취약점) 원격 코드 실행(RCE, 공격자가 원격으로 시스템을 마음대로 조종할 수 있는 공격) 취약점이 실제 공격에 악용되고 있습니다. 각 취약점은 독립적으로 공격자가 서버 메모리에 악성 코드를 심을 수 있게 해주며, 이미 전 세계 여러 Citrix 고객사에서 침해 사례가 확인됐습니다. 네덜란드 국가사이버보안센터(NCSC-NL)를 포함한 유럽 보안 기관들이 조직에 사전 경보를 발령했고, 보안기업 watchTowr도 공개 경고를 발표했습니다. Citrix는 다음 주 초 패치를 배포할 예정이므로, 그때까지 인터넷에 노출된 NetScaler 장비를 즉시 오프라인으로 전환하거나 신뢰할 수 있는 IP로 접근을 제한해야 합니다.

사건

두 개의 미패치 제로데이 RCE 취약점이 Citrix NetScaler 장비에서 발견됐으며, 고객사 포렌식(사고 조사) 과정에서 실제 악용이 확인됐다. 아직 CVE 식별자도 공식 권고문도 없다.

영향

공격자가 취약한 NetScaler 장비에서 원격으로 임의 코드를 실행할 수 있으며, 한 취약점은 메모리에 셸코드를 직접 삽입하는 방식을 사용한다. 전 세계 다수의 Citrix 고객사가 이미 피해를 입었다.

원인

두 취약점 모두 현재 패치가 존재하지 않는 제로데이로, Citrix가 고객사 인시던트 대응(침해 사고 조사) 과정에서 발견했다. 기술적 세부 사항은 아직 완전히 파악되지 않았다.

대응

Citrix는 다음 주 초 패치 배포를 예고했다. 네덜란드 NCSC-NL이 EU 사이버 복원력법(Cyber Resilience Act)에 따른 사전 통보 후 유럽 내 조직에 경보를 발령했으며, watchTowr도 공개 경고를 발표했다.

실무 포인트

패치 발표 전까지 인터넷에 노출된 NetScaler 장비를 즉시 오프라인으로 전환하거나 신뢰된 IP/네트워크로만 접근을 제한한다. 관리 인터페이스(Management Interface)는 절대 인터넷에 직접 노출하지 않는다. 패치 출시 즉시 신속히 적용할 수 있도록 사전 준비한다.

본문

두 개의 미패치 Citrix NetScaler 제로데이 취약점이 공격에 악용되고 있다는 보고가 이어지고 있으며, 사이버보안 기관·보안 연구자·IT 공급사들이 다음 주 패치 출시를 앞두고 조직들에 비공개로 취약점 관련 경고를 전달하고 있다.

사태의 첫 징후는 Citrix 관리자들이 Reddit에서 IT 공급사와 보안팀으로부터 NetScaler 장비를 즉시 종료하라는 연락을 비공개로 받았다고 제보하면서 드러났다.

"IT 공급사 보안팀으로부터 전화를 받았는데, 자세한 내용은 알려줄 수 없지만 지금 당장 NetScaler를 내리라고 했습니다"라고 한 관리자가 전했다.

다른 관리자들은 법 집행 기관, CERT(컴퓨터 침해 사고 대응 팀), 국가 사이버보안 기관들도 이 문제와 관련해 조직에 직접 연락해 왔다고 밝혔다.

보안기업 watchTowr는 이후 공개 경고를 발표하며, "신뢰할 수 있는 정보 소스"를 통해 내용을 확인한 뒤 "복수의 미패치 Citrix NetScaler RCE 취약점이 실제 환경에서 악용되고 있다는 소문에 긴박하게 대응 중"이라고 밝혔다.

"복수의 미패치 Citrix NetScaler RCE 취약점이 실제 환경에서 유포되고 있다는 소문에 현재 긴급 대응 중입니다. 세부 정보는 부족하지만, 해당 정보는 신뢰할 수 있습니다"라고 watchTowr는 전했다.

watchTowr는 이번 경고가 지난 8월 Citrix가 공개한 NetScaler 취약점인 CVE-2026-19490, CVE-2026-19489와는 무관하다고 밝혔다.

CVE-2026-19490은 특정 구성에서 AAA 가상 서버(AAA virtual server) 또는 게이트웨이(Gateway)로 설정된 NetScaler 장비에 영향을 주는 치명적인 인증 우회 취약점이다.

이달 초 BleepingComputer가 보도한 바와 같이, 개념 증명(PoC) 익스플로잇이 공개된 이후 연구자들은 CVE-2026-19490을 악용하려는 시도를 관찰하기 시작했다.

이후 CISA(미국 사이버보안·인프라 보안국)는 9월 9일 CVE-2026-19490을 알려진 악용 취약점(KEV) 목록에 추가했다.

watchTowr는 이후 추가 정보를 공유하며, 현재 사건이 아직 패치되지 않았으며 이미 실제 환경에서 악용된 두 개의 원격 코드 실행 취약점과 관련이 있다고 밝혔다.

"Citrix의 공식 발표와 패치는 다음 주 초에 나올 것으로 예상됩니다"라고 watchTowr는 전했다.

"두 개의 취약점 — 둘 다 RCE. 미패치 상태, 제로데이. 실제 환경에서 악용 — 포렌식 과정에서 발견."

BleepingComputer는 Citrix에 보고된 제로데이에 대해 연락했으나 응답을 받지 못했다.

NCSC 경고, 추가 세부 내용 공개

네덜란드 국가사이버보안센터(NCSC-NL)는 이후 네덜란드 내 조직들에 발송된 것으로 알려진 사전 통보 권고문에서 추가 세부 사항을 공유했다.

온라인에 유포된 해당 통보문 사본에 따르면, NCSC는 유럽 파트너 CERT로부터 Citrix NetScaler의 두 가지 치명적인 제로데이 취약점에 관한 정보를 입수했다고 밝히고 있다.

통보문에 의하면 각 취약점은 독립적으로 원격 코드 실행으로 이어질 수 있으며, 그 중 하나는 공격자가 메모리에 직접 셸코드를 삽입할 수 있게 한다. 두 번째 취약점의 기술적 세부 사항은 아직 조사 중이었다.

통보문은 아직 CVE 식별자가 부여되지 않았고 Citrix가 권고문을 발표하지 않았으나 다음 주 초 출시를 목표로 패치를 개발 중이라고 밝혔다.

또한 당시까지 침해 지표(IoC)가 확인되지 않았으며, NCSC는 추가 기술 정보와 IoC 확보를 위해 Citrix와 협력 중이라고 밝혔다.

통보문에 따르면 Citrix는 고객 환경에서의 인시던트 대응 조사 과정에서 해당 취약점을 발견했다.

그 조사에서 적극적인 악용이 확인된 후, Citrix는 EU 사이버 복원력법(Cyber Resilience Act)에 따라 신고를 제출했다.

NCSC 통보문은 전 세계 여러 Citrix 고객에서 악용이 확인됐다고 밝히면서도, 광범위한 규모로 악용이 이루어지고 있는지는 파악하지 못했다고 덧붙였다.

또한 Citrix가 패치와 취약점 기술 세부 사항을 공개한 이후 악용 시도가 증가할 수 있다고 경고했다.

NetScaler 장비 업데이트는 다운타임을 유발할 수 있기 때문에, NCSC는 이번 사전 통보가 조직들이 준비하고 가능한 범위에서 보호 조치를 시행하며 Citrix 패치 출시 즉시 신속히 적용할 수 있도록 시간을 주기 위한 것이라고 밝혔다.

BleepingComputer는 온라인에서 유포되고 있는 권고문이 실제인지 확인하기 위해 네덜란드 NCSC에 연락했다.

기관 측은 통보문의 존재를 공식 확인하기를 거부했으나, 그 답변 내용은 사이버보안 기관들이 비공개로 취약점 관련 정보를 공유했다는 Citrix 관리자들의 제보와 일치했다.

"국가 CSIRT 및 지정 조직의 분야별 CSIRT로서, NCSC-NL은 네덜란드에 영향을 미치는 관련 동향과 사이버 위협을 24시간 모니터링합니다"라고 NCSC-NL은 BleepingComputer에 밝혔다.

"우리는 조직들이 적절한 조치를 취할 수 있도록 정보와 조언을 제공합니다. 귀하는 우리 대응 범위(constituency)에 포함되지 않으므로, 현재로서는 추가 정보를 공개할 수 없습니다."

Citrix는 두 취약점을 공식적으로 공개하지 않았으며, 보고된 제로데이에 대한 공개 CVE 식별자, 영향받는 버전 정보, 침해 지표, 공식 완화 지침이 현재 존재하지 않는다.

Citrix가 패치 또는 공식 지침을 발표하기 전까지, 관리자는 가능한 경우 인터넷에 노출된 NetScaler 장비를 오프라인으로 전환하거나, 위험을 줄이기 위해 신뢰할 수 있는 네트워크 및 IP 주소로만 접근을 제한해야 한다.

최소한, NetScaler 관리 인터페이스를 인터넷에 직접 노출하지 말고 신뢰된 IP 주소로만 접근을 제한해야 한다.

AI 기반 공격에 대비한 보안 청사진 구축

Mikko Hyppönen과 NFL, CHANEL, Atlassian의 보안 리더들이 함께하는 두 시간짜리 디지털 서밋에 참여하세요. AI 속도의 공격이 무엇을 바꾸는지, 방어자들이 멈춰야 할 것은 무엇인지, 그리고 머신 속도로 검증·결정·수정·재검증하는 방법을 다룹니다.

좌석 예약하기