공격자들이 Citrix NetScaler ADC와 NetScaler Gateway 장비의 심각한 취약점(CVE-2026-88771, CVE-2026-88772)을 실제로 악용해 웹쉘(원격으로 명령을 내릴 수 있는 악성 프로그램)을 심고 설정 정보를 빼내려 하고 있습니다. 이 취약점은 인증 절차 없이도 공격자가 임의의 명령을 실행할 수 있게 해주는 매우 위험한 결함으로, 이미 CISA(미국 사이버보안기관)의 실제 악용 확인 목록(KEV)에 등재됐습니다. 보안업체 LevelBlue는 공격자가 2차 악성코드를 추가로 내려받거나, 관리자 권한을 가진 새 계정을 몰래 만들고, 정상 NetScaler 화면처럼 보이는 가짜 주소에 웹쉘을 숨겨두는 등의 행위를 포착했습니다. 네덜란드 국가사이버보안센터는 이미 자국 기업들에 장비를 즉시 끄라고 경고했을 정도로 상황이 심각하며, Mandiant와 Google 위협 인텔리전스팀도 수십 개 기업이 이미 피해를 입었다고 밝혔습니다. 해당 제품을 쓰는 기업은 긴급 패치 적용과 침해 여부 점검이 시급합니다.
공격자들이 Citrix NetScaler ADC/Gateway의 사전 인증 명령어 삽입 취약점(CVE-2026-88771, CVE-2026-88772)을 악용해 웹쉘을 설치하고 설정 데이터를 탈취하고 있다.
인증 없이 임의 명령 실행이 가능해 관리자 권한 계정 생성, 설정 정보 유출, 원격 제어용 웹쉘 설치 등 전면적인 장비 장악으로 이어질 수 있다. Mandiant/GTIG에 따르면 이미 수십 개 조직이 피해를 입었다.
CVSS 9.5에 해당하는 부적절한 입력값 검증 결함으로, 인증되지 않은 공격자가 명령을 임의로 실행할 수 있다.
네덜란드 NCSC는 피해 예상 기업에 장비 즉시 종료를 권고했고, Citrix는 패치를 발표했다. 기업은 즉시 패치를 적용하고 비정상 계정·웹쉘 흔적을 점검해야 한다.
공격자는 pitboss, NSPPE 관련 인증 로그 흔적, sec_monitor라는 수퍼유저 계정 생성, /var/netscaler/logon/LogonPoint 경로의 위장된 웹쉘 파일 등 특정 침해지표(IOC)를 남기므로 이를 기준으로 침해 여부를 점검해야 한다.
본문
Ravie Lakshmanan 2026년 10월 1일 취약점 / 웹 보안
위협 행위자들이 Citrix NetScaler ADC 및 NetScaler Gateway의 치명적인 사전 인증 명령어 삽입(command injection) 취약점을 악용해 웹쉘을 심고 설정 데이터 탈취를 시도하는 것이 관찰되었다.
여러 고객 환경에 걸친 악용 활동을 분석한 LevelBlue의 위협 사냥 운영 및 연구팀(Threat Hunt Operations & Research, THOR)은 CVE-2026-88771을 무기화하도록 설계된 공격자 제어 사용자명을 포함한 악성 NetScaler 인증 이벤트를 식별했다고 밝혔다.
CVE-2026-88771(CVSS 점수: 9.5)은 인증되지 않은 공격자가 임의의 명령을 실행할 수 있게 하는 부적절한 입력값 검증(improper input validation) 취약점이다.
이 보안 결함은 CVE-2026-88772와 함께, 네덜란드 국가 사이버보안센터(NCSC-NL)가 네덜란드 내 조직들에 실제 악용을 이유로 장비 종료를 촉구하는 사전 통지를 보냈다는 보도가 나온 후 지난주 공개되었다. 이 글을 쓰는 시점까지 이 공격의 배후가 누구인지에 대한 세부 내용은 알려지지 않았다.
"식별된 이벤트들 전반에서 가장 일관된 특징 중 하나는 CVE-2026-88771 악용과 관련된 pitboss 및 NSPPE 문자열의 변형을 포함하는 공격자 제어 인증 데이터였다"고 LevelBlue는 밝혔다.
다른 시도에서는 curl이나 wget을 이용해 외부 서버에서 추가 페이로드를 가져오거나, NetScaler 설정 데이터를 추출하는 것이 관찰되었다 -
- 64.94.85[.]67:443/update_c08937.pl
- 31.56.197[.]72:9090/lula
- 31.56.197[.]72:9090/lula
- 23.27.143[.]20:9000/main.py
"종합적으로 볼 때, 관찰된 명령들은 단순한 취약점 검증을 넘어서는 활동을 보여준다"고 LevelBlue는 말했다. "이러한 시도에는 페이로드 검색 및 실행뿐만 아니라 NetScaler 설정 데이터의 수집 및 준비 작업도 포함되어 있었다."
2차 페이로드 중 눈에 띄는 것은 "45.141.21[.]130"으로 TCP 443 포트를 통해 리버스 쉘(reverse shell, 공격자가 원격으로 제어권을 가져가는 연결)을 수립하도록 설계된 파이썬 스크립트("main.py")다. 이 스크립트는 "/var/python/bin/customsnmpd"와 관련된 실행 중인 프로세스를 찾아 "kill -9" 명령을 내려 강제로 종료시키기도 한다.
또 다른 2차 페이로드인 "update_c08937.pl"은 여러 침해 후 기능을 가진 Perl 스크립트다 -
- "/flash/nsconfig/ns.conf"를 수정해 sec_monitor라는 이름의 로컬 계정을 생성하고 수퍼유저(superuser) 권한을 부여한다.
- "/flash/nsconfig" 디렉터리를 "/tmp/update_result_3567cs.tgz"로 압축하고, NetScaler 설정 데이터가 담긴 이 압축 파일을 "64.94.85[.]67:443"에 업로드한다. 이후 스크립트는 압축 파일을 삭제하고 디스크에 남는 흔적을 줄이기 위해 자기 자신을 지운다.
- "/bin/sh"의 권한을 6555로 변경하고 "/var/netscaler/logon/LogonPoint/.local_journal"에 원격 명령 실행 및 파일 업로드·다운로드용 PHP 웹쉘을 배치한다.
- "/etc/httpd.conf"를 수정해 PHP 실행을 활성화하고, 웹쉘을 정상 NetScaler CSS 리소스처럼 보이는 URL에 매핑한다. 이는 GreyNoise가 관찰한 활동과도 일치한다.
"whoami 같은 명령을 사용해 명령 실행을 테스트한 시도도 있었지만, 다른 시도들은 추가 페이로드를 가져오거나, NetScaler 설정 데이터를 수집하거나, 리버스 쉘을 수립하거나, 권한이 높은 계정을 생성하거나, 웹쉘을 배치하려 했다"고 LevelBlue는 밝혔다.
이번 공개는 Mandiant Consulting과 Google Threat Intelligence Group(GTIG)이 CVE-2026-88772를 악용해 WHIPSHOT과 같은 PHP 웹쉘과 SLAPSHOT이라 불리는 파이썬 터널러(tunneler)를 전달하는 공격으로 수십 개 조직이 피해를 입었다고 밝힌 다음 날 나왔다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
