경고: 패치 없는 Citrix NetScaler RCE 제로데이 2건, 현재 실제 공격에 악용 중

한 줄 요약

Citrix NetScaler ADC와 NetScaler Gateway 장비에서 두 개의 새로운 제로데이 취약점이 발견됐으며, 패치가 없는 상태에서 이미 실제 공격에 악용되고 있습니다. 이 취약점들은 RCE(원격 코드 실행, 즉 공격자가 인터넷을 통해 장비를 마음대로 제어할 수 있는 공격)로, 보안업체 watchTowr가 포렌식 조사 도중 발견했습니다. Citrix는 9월 28일 주 초에 패치를 제공할 예정이라고 알려졌으나, 현재는 공식 완화책도, 침해 여부를 판단할 지표(IoC)도 공개되지 않은 상황입니다. 공격이 패치 이전에 이미 발생했기 때문에, 추후 패치를 적용하더라도 그 전에 이미 침해를 당했는지 별도로 확인해야 합니다. 일부 조직은 장비를 즉시 오프라인으로 전환하는 방식으로 대응하고 있습니다.

사건

Citrix NetScaler ADC 및 NetScaler Gateway에서 미패치 상태의 RCE 제로데이 취약점 2건이 실제 공격에 악용되고 있음. 보안업체 watchTowr가 포렌식 조사 중 발견해 2026년 9월 26일 공개.

영향

기업 네트워크 엣지에 배치된 NetScaler 장비가 완전히 장악될 수 있으며, VPN·원격 접속·인증 인프라 전체가 위협에 노출됨. 일부 조직은 즉시 장비를 오프라인으로 전환.

원인

공개된 기술적 원인 없음. 패치가 존재하지 않는 상태(제로데이)에서 이미 악용이 시작됐으며, 8월 19일 패치된 인증 우회 취약점 CVE-2026-19490과는 별개의 결함.

대응

Citrix는 9월 28일 주 초 패치 제공 예정. 현재 권장 조치: 장비 격리 또는 오프라인 전환, 증거 보존(스냅샷·로그·기술 지원 번들), 서비스 계정 비밀번호 및 인증서 재설정. 네덜란드 NCSC의 침해 확인 스크립트 활용도 고려 가능.

실무 포인트

공격이 패치 이전에 발생했으므로, 패치 설치만으로는 기존 침해 여부를 알 수 없음. 패치 적용 후 반드시 침해 여부를 별도로 점검해야 하며, 관리 인터페이스는 인터넷에 절대 노출하지 않아야 함.

본문

Swati Khandelwal · 2026년 9월 27일 · 취약점 / 네트워크 보안

보안업체 watchTowr는 9월 26일, Citrix NetScaler ADC 및 NetScaler Gateway 어플라이언스에서 원격 코드 실행(RCE)이 가능한 새로운 미패치 제로데이 취약점 두 건이 실제 환경에서 적극적으로 악용되고 있다고 밝혔다.

Citrix는 해당 결함을 공식 확인하지 않았으며 수정 패치도 발표하지 않았다. 일부 관리자들은 패치가 나올 때까지 기다리는 대신 장비를 오프라인으로 전환했다고 밝혔다.

NetScaler ADC와 NetScaler Gateway는 기업 네트워크의 엣지에 위치해 VPN 및 원격 접속, 로드 밸런싱, 사용자 인증을 처리한다.

이번 결함은 Citrix가 8월 19일 패치하고 CISA가 9월 9일 알려진 악용 취약점(KEV) 목록에 추가한 인증 우회 취약점 CVE-2026-19490과는 별개다.

watchTowr는 새로운 결함들이 미패치 상태라고 설명했으며, 우회 취약점에 대한 수정 패치는 8월 19일부터 이미 존재한다. Citrix는 8월 빌드인 14.1-73.32 및 13.1-63.21, 또는 그 이후 빌드에서 새로운 결함의 영향을 받는지 여부에 대해 언급하지 않았다.

watchTowr가 9월 26일 X(구 트위터)에 처음 게시한 글에서는 실제 환경에서 유통되는 여러 미패치 NetScaler RCE 취약점에 관한 소문에 대응하는 것이라고 밝혔다. watchTowr는 "세부 정보는 부족하지만, 해당 정보는 신뢰할 수 있다"고 적었다.

협정 세계시(UTC) 22시 19분에 올라온 후속 게시물에서는 더 자세한 내용을 공개했다. 취약점 두 건 모두 원격 코드 실행 취약점이고, 둘 다 미패치 상태이며, 수정 패치가 존재하기 전에 이미 악용됐고, 포렌식 조사 과정에서 발견됐으며, Citrix의 공지 및 패치는 9월 28일 주 초에 나올 예정이라는 내용이었다. 추가 문의는 Citrix로 하도록 안내했다.

watchTowr는 어떠한 증거도 공개하지 않았고, 피해 조직의 이름도 밝히지 않았으며, 어느 기관의 포렌식 조사에서 악용 사실이 발견됐는지도 언급하지 않았다. 8월에는 Citrix가 6월에 패치한 NetScaler 힙 오버플로 취약점이 원격 코드 실행에 활용될 수 있음을 보여준 바 있다.

같은 날 Reddit에는 장비 종료 권고에 관한 게시물이 등장했다. r/Citrix에 글을 올린 한 관리자는 자신이 이용하는 IT 공급업체의 보안팀이 전화를 걸어 자세한 설명 없이 NetScaler를 즉시 종료할 것을 권고했다고 전했다. 스레드에 참여한 다른 사용자들도 자신이 속한 조직이 동일하게 조치했다고 밝혔다.

공급업체의 경고가 어디서 비롯됐는지는 확인되지 않았다. 공식 보안 공지가 없어 벤더 측의 완화책도 없으며, 새로운 결함에 대한 침해 지표(IoC)도 공개되지 않았다. 패치가 나오기 전까지 NetScaler를 운영하는 모든 관리자는 장비를 계속 가동할지, 격리할지, 전원을 끌지, 그리고 이미 침해된 것으로 간주하고 대응할지 여부를 결정해야 하는 상황이다.

watchTowr의 설명에 따르면 악용이 수정 패치 존재 이전에 발생했기 때문에, 패치를 설치하더라도 공격자가 먼저 침투했는지 여부를 확인할 수는 없다.

2025년 네덜란드 조직들을 대상으로 NetScaler 취약점이 제로데이로 악용된 사건 이후, 네덜란드 국가사이버보안센터(NCSC)는 업데이트만으로는 위험이 제거되지 않는다고 밝혔다. 패치 이전에 탈취한 접근 권한을 공격자가 계속 유지할 수 있기 때문이다. 네덜란드 NCSC는 관리자들에게 자체 점검 스크립트를 실행하도록 안내한 바 있다.

NetScaler 침해가 의심되는 경우에 대한 Citrix의 기존 가이드라인은 다음과 같다:

증거를 먼저 보존한다: VPX 인스턴스의 스냅샷, 원격 syslog 서버 및 NetScaler Console에 저장된 로그, 기술 지원 번들, 패킷 엔진의 코어 덤프.
네트워크에서 어플라이언스를 격리한다.
장비에 저장된 모든 서비스 계정 비밀번호와 시크릿을 변경하고, 해당 장비를 통해 로그인한 사용자들의 비밀번호를 재설정하며, 인증서와 개인 키를 폐기한다.
관리 인터페이스를 인터넷에 노출하지 않는다. Citrix 가이드라인은 "NetScaler 관리 서비스는 절대로 공개 인터넷에 노출되어서는 안 된다"고 명시한다.

2025년 네덜란드 기관이 공개한 점검 스크립트는 가동 중인 어플라이언스, 코어 덤프, NetScaler 전체 이미지에 대한 추가 확인 수단으로 활용할 수 있으나, 한계가 있다.

가동 중인 어플라이언스용 스크립트의 README에는 침해 징후가 있는 파일을 탐지하며, 특정 취약점에 국한되지 않고, 효과를 보장하지 않는다고 명시되어 있다. 해당 코드는 2025년 9월에 마지막으로 업데이트됐다.

어떤 버전의 NetScaler가 수정 패치를 받을 수 있는지도 불분명하다. NetScaler 13.1은 Citrix의 릴리스 일정에 따라 9월 15일자로 유지 보수 종료(End of Maintenance)에 도달했으며, Citrix는 해당 버전에 대한 패치 제공 여부를 밝히지 않았다.

일요일 오전 기준으로 Citrix는 새로운 결함에 대해 아무것도 발표하지 않은 상태다. The Hacker News는 Citrix와 NetScaler를 소유한 Cloud Software Group 및 watchTowr에 논평을 요청한 상황이다.