실제 공격에 악용된 Citrix NetScaler 제로데이 2건, 즉시 패치 필요

오늘의 핵심

Citrix NetScaler ADC·Gateway의 인증 없는 원격 코드 실행 취약점 2건이 실제 공격에 악용되고 있다. 고객 관리형 장비 운영자는 영향 버전을 식별해 업데이트하고, 인터넷 노출 장비는 패치 전 침해 여부까지 점검해야 한다.

확인된 사실

• CVE-2026-88771과 CVE-2026-88772는 NetScaler ADC·Gateway에서 원격 코드 실행을 일으킬 수 있으며, 패치되지 않은 장비를 겨냥한 실제 악용이 확인됐다. 근거 [1] [2]
• CVE-2026-88771은 인증되지 않은 공격자가 임의 명령을 실행할 수 있는 입력 검증 취약점으로, 기본 구성을 포함한 모든 NetScaler ADC·Gateway 배포가 영향 대상이다. 근거 [1] [2]
• CVE-2026-88772는 원격 코드 실행이나 서비스 거부를 유발할 수 있는 메모리 오버플로 취약점이며, VPN 가상 서버에서 기본 활성화되는 DTLS 사용 환경이 영향 대상이다. 근거 [1] [2]
• 영향 버전에는 NetScaler ADC·Gateway 14.1-73.37 미만과 13.1-64.23 미만, 일부 FIPS·NDcPP 빌드가 포함된다. 근거 [1] [2]
• CERT-EU는 영향 장비를 즉시 업데이트하고 인터넷에 노출된 취약 빌드에 대해 침해 여부를 평가하라고 권고했다. 근거 [1]

왜 중요한가

• NetScaler는 원격 접속과 애플리케이션 전달을 담당하는 경계 장비여서 침해 시 내부 시스템으로 이어지는 초기 진입점이 될 수 있다.
• CVE-2026-88771은 별도 기능을 켜지 않은 기본 배포도 영향 대상이므로 구성상 안전할 것이라는 가정이 통하지 않는다.
• 이미 악용이 관찰된 만큼 패치 적용만으로 대응을 끝내면 업데이트 이전 침해 흔적을 놓칠 수 있다.

inxight의 관점

• 서비스팀은 이번 사안을 일반 서버 패치가 아니라 인증·원격접속 경계의 보안 사고 가능성으로 다뤄야 한다.
• 자산 목록에서 제품명만 찾지 말고 외주 운영, Secure Private Access Hybrid, 재해복구 장비까지 고객 관리형 NetScaler 인스턴스를 모두 확인해야 한다.
• 긴급 변경 후에는 로그인, VPN, 애플리케이션 전달 등 핵심 사용자 흐름을 점검해 보안 조치와 서비스 연속성을 함께 관리해야 한다.

실무 체크리스트

• NetScaler ADC·Gateway의 보유 여부, 관리 주체, 외부 노출 상태와 현재 빌드를 즉시 목록화한다.
• 영향 장비를 14.1-73.37 이상, 13.1-64.23 이상 또는 공급자가 안내한 해당 FIPS·NDcPP 수정 빌드로 업데이트한다.
• 인터넷에 노출됐던 영향 장비는 로그와 구성 변경, 비정상 계정·세션 및 의심 통신을 중심으로 침해 평가를 수행한다.
• 패치 전까지 변경이 어려운 장비는 외부 노출과 관리 접근을 최소화하고 보안팀의 집중 모니터링 대상으로 지정한다.
• 업데이트 후 VPN·인증·로드밸런싱의 정상 동작을 확인하고 자산대장과 변경 기록에 조치 결과를 남긴다.