무슨 일이 있었나
2026년 9월 27일, Citrix는 NetScaler ADC와 NetScaler Gateway의 취약점 8건(CVE-2026-88771~CVE-2026-88778)을 다룬 보안 공지 CTX697096을 발표했습니다. 그중 CVE-2026-88771과 CVE-2026-88772는 이미 제로데이로 악용되고 있었고, CISA는 같은 날 이를 KEV 목록에 추가했습니다. CISA에 따르면 둘 다 치명적이며 각각 단독으로 원격 코드 실행이 가능하고, 악용이 "전 세계적으로" 확인됐습니다.
보고된 기술 세부 사항
Google Threat Intelligence Group과 Mandiant를 인용한 Threadlinqs 분석에 따르면:
- CVE-2026-88772: NSPPE의 DTLS 처리(UDP/443)에서 인증 전 힙 오버플로가 발생해 root 권한 코드 실행으로 이어집니다.
- CVE-2026-88771: 로그 처리 스크립트의 입력 검증 미흡(CWE-20)으로, 로그에서 가져온 이름을 셸 명령에 이어 붙입니다.
- 침투 후 Apache 설정을 이용한 지속성, 웹셸 WHIPSHOT, 터널 도구 SLAPSHOT이 관찰됐습니다.
- 악용은 최소 9월 초부터 이어졌습니다(GovInfoSecurity는 8월부터라고 보도).
둘 다 CVSS 4.0 기준 9.5점입니다.
수정 버전
14.1-73.37 이상 또는 13.1-64.23 이상으로 업데이트하세요. 주의: 10월에 새 취약점(CVE-2026-88779, CVE-2026-107406)이 나와 더 최신 빌드가 필요합니다. 별도 기사에서 다룹니다.
지금 할 일
- 인터넷에 노출된 NetScaler를 모두 파악하고 빌드를 확인하세요.
- 패치 이전부터 악용됐으므로 업데이트 후에도 침해 흔적(웹셸, 새 계정, Apache 변경)을 찾으세요.
- 의심되면 Citrix 지침을 따르고, 흔적이 있으면 사고로 대응하세요.