악용 중인 Citrix NetScaler SAML 취약점, 긴급 재패치 필요

오늘의 핵심

Citrix NetScaler의 SAML 구성에서 서비스 거부를 일으키는 CVE-2026-88779가 실제 공격에 악용되고 있다. 최근 다른 취약점을 패치한 장비도 별도 업데이트가 필요해 국내 서비스 운영자의 즉각적인 자산 확인과 대응이 요구된다.

확인된 사실

• CVE-2026-88779는 고객이 직접 관리하는 Citrix NetScaler ADC와 NetScaler Gateway가 SAML 서비스 제공자 또는 ID 제공자로 구성됐을 때 영향을 주는 메모리 오버플로 취약점이다. 근거 [1] [2]
• 공개 시점에 실제 공격 악용이 확인됐으며, 반복적으로 취약 조건을 유발하면 인증·게이트웨이 서비스가 계속 중단될 수 있다. 근거 [1] [2]
• CISA는 CVE-2026-88779를 알려진 악용 취약점 목록에 추가해 단순한 예방 패치보다 높은 우선순위의 대응이 필요함을 알렸다. 근거 [1] [2]
• 수정 버전은 일반 배포판 기준 14.1-73.41 이상과 13.1-64.28 이상이며, FIPS·NDcPP 장비에는 별도의 수정 빌드가 제시됐다. 근거 [1]
• 최근 CVE-2026-88771부터 CVE-2026-88778까지 대응한 장비라도 SAML 관련 전제조건을 충족하면 CVE-2026-88779 수정 버전으로 다시 업그레이드해야 한다. 근거 [1]

왜 중요한가

• NetScaler가 로그인과 외부 트래픽의 관문으로 배치돼 있다면 서비스 거부가 곧 고객의 로그인 실패나 웹·앱 접속 장애로 이어질 수 있다.
• 이미 최근 NetScaler 업데이트를 완료한 조직도 추가 패치 대상일 수 있어 기존 완료 보고만 믿으면 취약 상태를 놓칠 수 있다.
• 인터넷 경계 장비는 일반 엔드포인트 보안 도구의 가시성이 제한될 수 있으므로 자산·구성 기반의 별도 확인이 필요하다.

inxight의 관점

• 이번 대응의 핵심은 제품명만으로 일괄 판단하지 않고 SAML SP·IdP 설정 여부, 배포 유형, 현재 빌드를 함께 대조하는 것이다.
• 업데이트 작업은 인증 경로 장애를 만들 수 있으므로 이중화 장비를 순차 적용하고 로그인·세션 유지·백엔드 연결을 포함한 서비스 검증까지 한 변경 작업으로 관리해야 한다.
• 패치 완료와 침해 여부 확인은 별개다. 실제 악용이 확인된 만큼 업데이트 전후의 비정상 재시작, 인증 오류, 가용성 이상을 함께 점검해야 한다.

실무 체크리스트

• NetScaler 자산 목록에서 인터넷 노출 여부, 고객 관리형 여부, 현재 버전과 SAML SP·IdP 설정을 즉시 확인한다.
• 영향받는 장비를 14.1-73.41 이상, 13.1-64.28 이상 또는 해당 FIPS·NDcPP 수정 빌드로 업데이트한다.
• 최근 다른 NetScaler 취약점 패치를 완료한 장비도 새 수정 버전 적용 여부를 다시 검증한다.
• 업데이트 전후의 인증·시스템·네트워크 로그를 보존하고 비정상 재시작, 반복 장애, 의심스러운 인증 요청을 조사한다.
• 이중화 장비는 순차 업데이트한 뒤 실제 사용자 로그인과 핵심 웹·앱 경로를 점검해 서비스 정상화를 확인한다.