Citrix가 자사의 NetScaler ADC와 NetScaler Gateway 제품에서 발견된 8개의 심각한 취약점을 패치했는데, 이 중 2개(CVE-2026-88771, CVE-2026-88772)는 패치가 나오기도 전에 이미 공격자들이 실제로 악용한 제로데이(zero-day, 패치가 없는 상태에서 악용되는 취약점) 취약점이었습니다. 공격자들은 이 취약점을 이용해 인증 없이 원격으로 장비를 완전히 장악하고 웹셸(webshell, 원격 조종을 위한 악성 스크립트)을 심었으며, 이러한 공격은 최소 몇 주 전부터 전 세계적으로 진행된 것으로 보입니다. 보안 전문가들은 이번 공격이 국가 배후의 스파이 활동으로 추정된다고 밝혔습니다. 미국 CISA는 이 두 취약점을 실제 악용 취약점 목록(KEV)에 등재하고 연방기관에 긴급 조치를 명령했습니다. 네덜란드 국가사이버보안센터는 단순 패치만으로는 부족하며 침해 흔적을 반드시 조사해야 한다고 경고했습니다.
Citrix NetScaler ADC/Gateway의 취약점 2건(CVE-2026-88771, CVE-2026-88772)이 패치 공개 이전부터 제로데이로 실제 악용되어 공격자들이 인증 없이 원격 명령 실행 및 웹셸 설치에 성공했다.
취약한 장비를 사용하는 조직은 공격자에게 내부 네트워크 접근 권한을 넘겨줄 수 있으며, 공격은 최소 몇 주간 전 세계적으로 이뤄진 것으로 파악된다.
CVE-2026-88771은 입력값 검증 미흡으로 인한 원격 명령 실행 취약점이며, CVE-2026-88772는 메모리 오버플로우로 인한 원격 코드 실행/서비스 거부 취약점이다(DTLS 설정이 기본 활성화된 환경에서 특히 취약).
Citrix는 v14.1-73.37, v13.1-64.23 등 패치 버전을 배포했고, CISA는 KEV에 등재해 연방기관에 9월 30일까지 조치를 명령했다. NCSC-NL은 패치 전 메모리·로그 백업과 패치 후에도 지속적인 모니터링을 권고했다.
단순 패치 적용만으로는 부족하며, 로그가 이미 순환(rotate)되어 증거가 사라졌을 가능성이 높으므로 SIEM 로그에서 웹셸 흔적(예: 'pitboss' 관련 문자열)을 확인하고 전문 포렌식 조사를 병행해야 한다.
본문
Citrix는 NetScaler ADC와 NetScaler Gateway에서 심각도가 치명적(critical) 또는 높음(high)인 8개의 취약점을 패치했으며, 이 중 2개(CVE-2026-88771, CVE-2026-88772)는 제로데이 공격에 악용되어 침해된 장비에 웹셸(webshell)을 심는 데 사용되었습니다.
이들 취약점의 존재와 실제 악용에 대한 소문은 금요일 Reddit에서 퍼지기 시작했으며, IT 공급업체들의 경고가 이를 부채질했습니다. 이들은 네덜란드 국가사이버보안센터(NCSC-NL)로부터 관련 정보를 입수한 것으로 보입니다.
보안 연구원 Kevin Beaumont에 따르면, 유럽 정부 관계자들은 한 주 내내 조직들에게 실제 공격에 대해 경고해왔으며, 공격은 이번 달 내내 이어져 왔습니다.
그는 "십대 해커라기보다는 자원이 풍부한 국가 배후 조직에 의한 스파이 활동일 가능성이 크다"고 언급했습니다.
Tenable의 수석 연구 엔지니어인 Satnam Narang은 "공개된 보도에 따르면, 악용이 광범위한 규모에 도달했는지는 아직 확인되지 않았다"고 밝혔습니다.
"현재까지 위협 행위자에 대한 세부 정보는 공개되지 않았습니다. 다만 저희 조사에 따르면, 지난 7년간 Citrix NetScaler를 표적으로 한 위협 행위자 활동의 약 3분의 2는 국가 배후 지능형 지속 위협(APT) 그룹과 관련이 있었고, 3분의 1은 랜섬웨어 그룹 및 그 제휴 조직과 관련이 있었습니다."
악용된 취약점들
Citrix NetScaler ADC는 네트워크 트래픽을 관리하고 애플리케이션용 방화벽을 구성하는 데 사용되는 애플리케이션 전달 및 보안 플랫폼입니다. NetScaler Gateway는 외부 사용자가 내부 기업 네트워크와 애플리케이션에 연결할 수 있도록 해주는 보안 원격 접속 및 VPN 솔루션입니다.
Citrix는 일요일에 CVE-2026-88771부터 CVE-2026-88778까지 번호가 매겨진 취약점에 대한 패치를 배포했으며, "완화 조치가 되지 않은 NetScaler 배포 환경에서 CVE-2026-88771 및 CVE-2026-88772에 대한 실제 악용 사례가 관측되었다"고 확인했습니다.
CVE-2026-88771은 부적절한 입력값 검증에서 비롯되며, 인증되지 않은 원격 공격자가 기본 설정으로 운영되는 취약한 장비에서 임의의 명령을 실행할 수 있게 합니다. 이를 악용하는 데 사용자 상호작용은 필요하지 않습니다.
NCSC-NL은 일요일 "이 취약점은 공격자에게 게이트웨이에 대한 완전한 제어권을 부여하며, 그 뒤에 있는 내부 기업 네트워크에 직접 접근할 수 있게 한다"고 밝혔습니다.
CVE-2026-88772는 메모리 오버플로우 취약점으로, 원격 코드 실행 또는 서비스 거부(denial of service)로 이어질 수 있습니다. 사용자 상호작용 없이 원격으로 악용 가능하지만, NetScaler ADC나 NetScaler Gateway에서 DTLS 설정이 활성화되어 있어야 합니다(가상 VPN 서버에서는 기본적으로 활성화되어 있습니다).
두 취약점은 서로 독립적으로 악용될 수 있습니다.
이 취약점들은 다음과 같은 고객 관리형 배포 환경에 영향을 미칩니다:
- v14.1-73.37 이전의 Citrix NetScaler ADC 및 Citrix NetScaler Gateway v14.1, 그리고 v13.1-64.23 이전의 v13.1
- v14.1-73.37 FIPS 이전의 Citrix NetScaler ADC FIPS, 그리고 v13.1-37.279 이전의 FIPS 및 NDcPP
"NetScaler 인스턴스를 사용하는 Secure Private Access 하이브리드 배포 환경 또한 이 취약점들의 영향을 받는다"고 벤더는 밝혔으며, 고객들에게 수정 사항이 포함된 버전으로 업그레이드한 후 침해 흔적을 확인하고, 침해 정황이 발견되면 사고 대응 절차를 따를 것을 권고했습니다.
조사 및 사고 대응
Beaumont는 "패치 후에도 웹셸 여부를 확인하기 위해 모든 장비를 하나하나 점검해야 할 것"이라고 언급했지만, NetScaler Console을 통해 Citrix가 제공하는 탐지 스크립트는 공격 발생 이후 해당 장비의 로그가 순환(rotate)되지 않은 경우에만 작동한다고 지적했습니다.
그는 공격이 몇 주 전부터 시작되었다는 점을 고려할 때 로그가 이미 순환되었을 가능성이 높다며, SIEM 로그에서 "User-Agent 필드 뒤에 공백 없이 이어지는 base64 문자열"과 "'pitboss' 뒤에 IFS 문자열이 이어지는 로그 줄(즉 pitbossIFS)이나 pitbossb64decode"를 확인할 것을 권고했습니다.
그는 또한 웹셸이 장비마다 고유하게 다르며, 공격자들이 흔적을 지우기 위해 안티 포렌식(anti-forensics) 명령을 실행했다고 밝혔습니다.
Citrix는 위협 행위자들이 기술, 전술, 절차 및 인프라를 자주 변경하기 때문에 자사가 사용한 침해 지표(IOC)가 "실제 침해를 식별하는 데 실패할 수 있다"고 인정하며, 고객들에게 "환경을 평가하기 위해 경험이 풍부한 포렌식 조사업체의 서비스를 이용할 것"을 권고했습니다.
미국 사이버보안 및 인프라보안청(CISA)은 일요일 이 두 개의 실제 악용된 취약점을 자사의 실제 악용 취약점(Known Exploited Vulnerabilities) 카탈로그에 추가했으며, 미국 연방 민간 기관들에게 2026년 9월 30일 수요일까지 이를 해결하고 침해 흔적을 확인하기 위한 포렌식 심사(triage)를 수행할 것을 명령했습니다.
"CISA는 위협 행위자들이 전 세계적으로 이 취약점들을 실제로 악용하고 있다는 것을 확인해주는 보고와 파트너 위협 인텔리전스를 접수했다"고 해당 기관은 경고했습니다.
NCSC-NL은 조직들에게 업데이트를 설치하기 전에 최소 한 달 전까지 거슬러 올라간 장비의 메모리 및 로그 파일을 백업할 것과, 업그레이드 후에도 의심스러운 트래픽이나 이상 행동이 있는지 장비를 지속적으로 모니터링할 것을 권고했습니다.
같은 소식, 다른 매체 보도4건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
