국가 배후 추정 해커들, 9월 초부터 NetScaler 제로데이(CVE-2026-88772) 악용

한 줄 요약

Citrix NetScaler ADC/Gateway 장비에서 발견된 두 개의 취약점(CVE-2026-88771, CVE-2026-88772)이 국가 배후로 추정되는 정교한 해킹 조직에 의해 제로데이(패치가 나오기 전부터 악용되는 취약점)로 실제 공격에 사용된 것으로 확인됐습니다. 구글의 위협 분석 조직인 Mandiant와 GTIG에 따르면 최소 9월 초부터 공격이 진행되었고, 북미와 유럽의 정부·금융·교육·통신·법률 분야 등 수십 개 기관이 피해를 입었습니다. 공격자는 인증을 우회해 시스템 최고 권한(root)을 탈취한 뒤 웹쉘과 터널링 도구를 심어 내부망까지 침투했습니다. 전문가들은 패치를 적용하는 것만으로는 이미 침입한 공격자를 몰아낼 수 없고 탈취된 계정정보 문제도 해결되지 않는다고 경고하며, 별도의 위협 탐지와 대응 조치가 반드시 필요하다고 강조합니다.

사건

Citrix NetScaler ADC/Gateway의 두 취약점(CVE-2026-88771, CVE-2026-88772)이 국가 배후로 추정되는 공격자에 의해 9월 초부터 제로데이로 악용됐다.

영향

북미·유럽의 정부, 금융, 교육, 통신, 법률 서비스 등 수십 개 기관이 침해를 당했으며, 공격자가 root 권한을 획득해 웹쉘과 터널링 도구로 내부망까지 접근했다.

원인

CVE-2026-88772는 인증 우회 후 패킷 처리 엔진의 메모리 손상을 유발해 임의 코드를 실행하는 방식이며, CVE-2026-88771은 기본 설정 상태에서도 원격코드실행이 가능하다.

대응

Citrix는 두 취약점을 인정했고, 구글은 위협 탐지·차단·복구 가이드를 배포했다. 다만 패치 적용만으로는 이미 설치된 백도어나 탈취된 계정정보 문제를 해결할 수 없다.

실무 포인트

NetScaler ADC/Gateway를 운영하는 모든 기업은 패치와 별개로 침해 흔적 점검, 계정정보 재발급, 위협 헌팅을 반드시 함께 수행해야 한다.

본문

"고도화된, 국가 배후로 추정되는 위협 행위자"가 최근 공개된 두 NetScaler 취약점 중 하나인 CVE-2026-88772를 활용한 초기 표적 침투 공격의 배후일 가능성이 높다고 Mandiant CTO Charles Carmakal이 밝혔다. 이 취약점은 제로데이(패치가 나오기 전부터 악용되는 취약점)로 악용됐다.

Mandiant와 Google Threat Intelligence Group(GTIG)은 북미와 유럽 전역에서 수십 개 기관이 피해를 입은 것으로 알고 있다고 그는 덧붙였다. "정부, 금융 서비스, 교육, 통신, 법률 및 전문 서비스 분야를 포함한다."

두 개의 NetScaler 제로데이 악용

2026년 9월 27일, 전 세계 기관들이 Citrix NetScaler ADC와 Gateway에서 발생 가능한 제로데이 취약점을 이용한 활성 공격에 대해 통보받기 시작한 지 며칠 후, Citrix는 두 가지 결함, 즉 CVE-2026-88771과 CVE-2026-88772가 악용되었음을 확인했다.

두 취약점 모두 원격 공격자가 취약한 장비에서 원격코드실행(RCE, 원격에서 시스템을 마음대로 실행할 수 있는 공격)을 달성할 수 있게 한다. 전자는 기본 설정으로 실행되는 모든 장비에서 작동하지만, 후자는 DTLS 설정이 활성화된 경우에만 악용이 가능하다.

CVE-2026-88771의 악용 시도와 성공 사례는 이미 여러 보안 업체와 보안 연구자들이 상세히 다뤘지만, Mandiant의 침해사고 대응팀과 GTIG 연구원들은 이제 CVE-2026-88772를 이용한 공격에 대한 자체 조사 결과를 발표했다.

이들은 2026년 9월 말에 CVE-2026-88772에 대한 실제 악용을 처음 포착했으며, 이 악용 활동이 최소 9월 초부터 진행되어 왔다고 밝혔다.

공격은 어떻게 전개되었나

"CVE-2026-88772의 악용은 인증을 우회하고 NetScaler 패킷 처리 엔진(NSPPE)의 처리되지 않은 종료를 유발하여 root 수준의 초기 접근 권한을 확보한다"고 이들은 밝혔다.

"Google Threat Intelligence Group은 익스플로잇 코드를 확보하지는 못했지만, 최전선 텔레메트리 분석에 따르면 특별히 조작되거나 분할된 레코드 헤더를 전송하면 패킷 엔진 내부에서 힙 메모리 경계 손상이 발생하여, 기반이 되는 FreeBSD 플랫폼에서 root 수준의 운영체제 권한으로 임의의 셸코드를 실행하도록 제어 흐름이 전환되는 것으로 보인다."

일부 공격에서는 접근 권한을 확보한 후, 공격자의 초기 웹쉘 페이로드가 NetScaler 어플라이언스에 내장된 Apache 웹 서버의 설정 파일인 httpd.conf를 수정하여, 웹 서버가 .deb 파일을 PHP 스크립트처럼 처리하도록 만들었다. 이를 통해 공격자는 /netscaler/gui/vpn/scripts/linux 경로에 위장된 파일 확장자로 웹쉘을 몰래 배치할 수 있었다.

"다른 침투 사례에서는 위협 행위자가 웹쉘 실행을 이미지 요청으로 위장하는 더 은밀한 설정 후킹 방식을 구현했다"고 연구원들은 언급했다.

공격자들은 명령을 실행하고 장비에서 지속성을 확보하기 위해 여러 웹쉘을 사용했으며, 연구원들이 SLAPSHOT이라고 명명한 TCP 터널링 도구도 사용했다. 이 도구는 공격자가 내부 네트워크로 트래픽을 우회 전송할 수 있게 해주었다.

패치만으로는 충분하지 않다

Carmakal은 다양한 위협 행위자들에 의한 CVE-2026-88772와 CVE-2026-88771의 광범위하고 기회주의적인 악용이 예상된다고 말했다.

후자에 대한 광범위한 "무차별(spray and pray)" 악용은 기술적 세부 정보와 PoC(개념 증명)가 온라인에 공유된 후 이미 시작되었다.

전자에 대한 더 넓은 범위의 악용도 이미 시작되었을 가능성이 높다. watchTowr 연구원들이 화요일 이 결함에 대한 분석과 "탐지 아티팩트 생성기(Detection Artefact Generator)"를 공개했기 때문이다.

구글의 연구원들은 NetScaler ADC와 Gateway를 운영하는 모든 조직이 따라야 할 상세한 위협 헌팅, 봉쇄 및 복구 지침을 공유했으며, Carmakal은 수정된 버전으로 업그레이드하는 것만으로는 공격자를 몰아내는 데 충분하지 않으며, 탈취된 계정정보와 관련된 위험도 전혀 해결하지 못한다는 점을 강조했다.