시트릭스 NetScaler SAML 구성에 치명적 원격 코드 실행 취약점

오늘의 핵심

NetScaler ADC·Gateway의 SAML 구성에서 원격 코드 실행이나 서비스 거부를 일으킬 수 있는 CVE-2026-107406이 공개됐다. 고객 관리형 장비를 운영하는 기업은 노출 여부를 확인하고 수정 빌드로 신속히 갱신해야 한다.

확인된 사실

• CVE-2026-107406은 특정 SAML 구성의 NetScaler ADC와 NetScaler Gateway에서 원격 코드 실행이나 서비스 거부를 일으킬 수 있는 치명적 메모리 오버플로 취약점이다. 근거 [1] [2]
• 구형 빌드는 SAML 서비스 제공자 또는 아이덴티티 제공자 구성에서 영향을 받을 수 있고, 일부 비교적 최신 빌드는 SAML 아이덴티티 제공자 구성일 때 영향권에 들어간다. 근거 [1] [2]
• 공개된 수정 빌드는 일반 제품군 기준 14.1-73.46과 13.1-64.29이며, FIPS·NDcPP 계열에는 별도 수정 빌드가 제공됐다. 근거 [1] [2]
• Secure Private Access Hybrid가 NetScaler 인스턴스를 사용하는 경우에도 해당 인스턴스를 갱신해야 한다. 근거 [1] [2]
• 보도 시점 기준 이 취약점의 완화되지 않은 실제 악용 사례는 알려지지 않았다. 근거 [1] [2]

왜 중요한가

• NetScaler는 인증과 원격접속, 애플리케이션 트래픽의 경계에 놓이므로 침해 시 내부 서비스와 계정 체계로 영향이 확산될 수 있다.
• 영향 여부가 제품명만이 아니라 정확한 빌드와 SAML 역할에 따라 달라져 일반적인 자산 목록만으로는 우선순위를 정하기 어렵다.
• 장애 가능성까지 포함돼 있어 보안 위험뿐 아니라 로그인과 원격접속 중단에 따른 서비스 운영 위험도 함께 관리해야 한다.

inxight의 관점

• 이번 대응의 핵심은 단순한 패치 공지가 아니라 인터넷 노출 여부, 실제 빌드, SAML SP·IdP 역할을 연결한 자산 단위 판별이다.
• 인증 관문 장비의 긴급 갱신은 웹·앱 배포와 별개의 인프라 작업으로 취급하기 쉽지만, 로그인·세션·고객지원 동선을 포함한 서비스 연속성 계획과 함께 진행해야 한다.
• 실제 악용 보고가 없다는 사실은 패치 지연의 근거가 아니다. 외부 노출 장비부터 변경 창구와 롤백 절차를 확보해 선제적으로 처리할 사안이다.

실무 체크리스트

• NetScaler ADC·Gateway와 Secure Private Access Hybrid 연계 인스턴스를 전수 식별하고 인터넷 노출 여부, 버전·빌드, SAML SP·IdP 구성을 기록한다.
• 영향받는 장비를 14.1-73.46, 13.1-64.29 또는 제품 계열에 맞는 수정 빌드 이상으로 갱신한다.
• 외부 노출 및 SAML IdP 역할 장비를 우선순위로 지정하고, 이중화 절체와 로그인·VPN·SSO 회귀 테스트를 포함한 긴급 변경 계획을 실행한다.
• 업데이트 전후 장비 로그와 인증 실패·비정상 재시작·서비스 거부 징후를 점검하고 중앙 모니터링 규칙을 보강한다.