CVE-2026-19490: 비즈니스 게이트웨이를 노출시키는 치명적인 Citrix NetScaler 인증 우회

Cloud Software Group는 NetScaler ADC 및 NetScaler Gateway 어플라이언스에 영향을 미치는 중대한 인증 우회 취약성에 대한 보안 업데이트를 발표했습니다. CVE-2026-19490으로 추적되며 CVSS v4.0에서 9.3으로 평가된 이 결함은 게이트웨이 또는 AAA 가상 서버로 설정된 취약 시스템에서 인증 제어를 우회할 수 있도록 비인증 원격 공격자가 인증 제어를 우회할 수 있도록 허용할 수 있습니다.

Critical Citrix NetScaler Authentication Bypass Flaw는 NetScaler Gateway 어플라이언스가 종종 기업 네트워크의 가장자리에서 작동하여 SSL VPN 및 기타 원격 액세스 기능을 제공하기 때문에 특히 우려됩니다. 성공적인 익스플로잇은 공격자가 합법적인 자격 증명이나 사용자 상호작용 없이 보호된 서비스에 접근할 수 있게 할 수 있습니다.

CVE-2026-19490은 네트워크 기반 익스플로잇, 낮은 공격 복잡성, 권한 없음, 사용자 상호작용 없음 및 기밀성, 무결성 및 가용성에 잠재적으로 높은 영향을 미치는 CVSS 벡터를 포함합니다. 이러한 특성은 신뢰할 수 있는 익스플로잇 방법이 공개 가능해지면 인터넷에 노출된 취약 어플라이언스를 매력적인 대상으로 만듭니다.

이 취약성은 CVE-2026-19489와 함께 공개되었으며, 이는 Large Scale NAT 구성 내에서 SIP ALG가 활성화되었을 때 예측할 수 없는 동작 또는 서비스 거부를 유발할 수 있는 8.8 점수의 메모리 오버플로우 문제입니다. 그러나 CVE-2026-19490은 인증 경계를 직접 겨냥하기 때문에 보안 위험이 더 심각합니다.

CVE-2026-19490 분석

이 취약성은 CWE-288: 대체 경로를 사용한 인증 우회로 분류됩니다. 비밀번호를 해독하거나 토큰을 탈취하거나 약한 자격 증명을 악용하는 대신, 공격자는 영향을 받는 NetScaler 구성에서 기대되는 제어를 강제하지 않는 대체 인증 경로에 접근할 수 있습니다.

정확한 노출 조건은 NetScaler 소프트웨어 브랜치 및 빌드에 따라 다릅니다. 새로운 취약 빌드에서는 SAML 액션이 구성되어야 익스플로잇이 가능합니다. 구형 빌드의 경우 단순히 게이트웨이 또는 AAA 가상 서버로 작동하는 것만으로도 취약성 전제 조건을 충족하게 됩니다.

특히 영향을 받는 구성은 다음을 포함합니다:

• NetScaler 14.1-43.56 및 이후의 취약 빌드: SAML 액션이 구성된 경우 익스플로잇 가능합니다.
• NetScaler 14.1-43.55 및 이전 취약 빌드: 게이트웨이 또는 AAA 가상 서버 구성이 충분합니다.
• NetScaler 13.1-61.28 및 이후의 취약 빌드: SAML 액션이 구성된 경우 익스플로잇 가능합니다.
• NetScaler 13.1-61.27 및 이전 취약 빌드: 게이트웨이 또는 AAA 가상 서버 구성이 충분합니다.
• 13.1 FIPS 배포: 게이트웨이 또는 AAA 가상 서버로 구성될 때 영향을 받습니다.

취약 경로를 노출시킬 수 있는 게이트웨이 구성에는 SSL VPN, ICA 프록시, 클라이언트리스 VPN/CVPN 및 RDP 프록시가 포함됩니다. 각 소프트웨어 브랜치에 지정된 조건하에서 AAA 가상 서버도 영향을 받습니다.

CVE-2026-19490은 벤더의 패치 전 빌드를 포함하여 지원되는 NetScaler ADC 및 NetScaler Gateway 버전에 영향을 미칩니다:

• NetScaler ADC 및 NetScaler Gateway 14.1, 14.1-73.32 이전
• NetScaler ADC 및 NetScaler Gateway 13.1, 13.1-63.21 이전
• 해당 취약한 FIPS 및 NDcPP 릴리스.

고객이 관리하는 NetScaler 인스턴스에 의존하는 Secure Private Access Hybrid 배포도 노출되어 있으며 적절한 소프트웨어 업데이트가 필요합니다. Cloud Software Group은 자사 관리 클라우드 서비스 및 적응형 인증 제공을 이미 패치 완료했습니다.

CVE-2026-19490의 가장 중요한 세부 사항은 이러한 시스템이 기업 인프라 내에서 차지하는 위치와 관련이 있습니다. NetScaler Gateway는 일반적으로 외부 사용자와 내부 애플리케이션 사이의 인증 및 원격 액세스 계층으로 배포됩니다. 따라서 이러한 보안 경계를 우회하면 공격자가 조직이 의도적으로 인증 제어 뒤로 숨기고자 하는 서비스에 대한 무단 액세스를 제공할 수 있습니다.

인증된 계정이 필요한 취약성과 달리, 성공적인 익스플로잇은 최초 직원의 자격 증명을 도용할 필요가 없습니다. CVSS 벡터는 권한이 없고 사용자 상호작용이 없다는 것을 명시하여, 필요한 구성 조건이 충족될 때 노출된 어플라이언스가 네트워크를 통해 직접 접근할 수 있게 만듭니다.

인증이 우회된 후에는 영향을 받은 게이트웨이를 통해 사용할 수 있는 애플리케이션 및 리소스에 따라 결과가 달라집니다. 상대방은 보호된 기업 서비스를 잠재적으로 접근하거나, 원격 사용자가 이용할 수 있는 정보를 수집하거나, 무단 발판을 사용하여 내부 환경에 대한 더 넓은 침입의 일환으로 사용할 수 있습니다. 벤더의 심각도 평가는 기밀성, 무결성 및 가용성에 대한 잠재적인 높은 영향을 반영합니다.

관리자는 NetScaler 구성에서 SAML 액션, 인증 및 VPN 가상 서버를 검사하여 시스템이 취약성 전제 조건을 충족하는지 여부를 결정할 수 있습니다. 관련 구성 요소에는 samlAction, authentication vserver, vpn vserver 항목이 포함됩니다.

이 취약성은 JPMorgan Chase의 침투 테스트 팀 소속인 Samarth Vashisht에 의해 책임 있게 공개되었습니다. 인용된 공개에서 정확한 사적 발견 및 보고 날짜는 공개적으로 자세히 설명되지 않았습니다.

2026년 8월 20일 기준으로 벤더의 공개 및 인용된 두 보고서는 CVE-2026-19490 PoC가 공개 발표된 것을 식별하거나 야생에서의 활성 익스플로잇을 확인하지 못했습니다. 그럼에도 불구하고 비인증 원격 액세스, 낮은 공격 복잡성 및 NetScaler의 광범위한 기업 네트워크 경계의 배포 조합은 자세한 익스플로잇 기술이 유포되기 전에 빠른 해결이 중요합니다.

캠페인 특정 CVE-2026-19490 IOC가 인용된 공개에서 발표되지 않았습니다. 따라서 방어자는 어플라이언스 구성, 인증 텔레메트리, 비정상 원격 접속 동작 및 무단 세션 증거에 중점을 두어야 하며, 알려진 악성 IP 주소, 도메인 또는 파일 해시를 기다리지 않아야 합니다.

CVE-2026-19490 완화

Cloud Software Group은 영향을 받는 고객 관리 NetScaler 어플라이언스를 즉시 업그레이드할 것을 강력히 권장합니다. 주로 수정된 브랜치는 다음과 같습니다:

• NetScaler ADC 및 NetScaler Gateway 14.1-73.32 또는 이후
• NetScaler ADC 및 NetScaler Gateway 13.1-63.21 또는 이후
• 해당 수정된 FIPS 및 NDcPP 빌드.

고객이 관리하는 NetScaler 인스턴스를 사용하는 Secure Private Access Hybrid 운영 조직은 해당 어플라이언스를 업데이트해야 합니다. Citrix 관리 클라우드 환경은 이미 필요한 해결을 받았습니다.

CVE-2026-19490 탐지는 외부에서 접근 가능한 NetScaler ADC 및 Gateway 시스템의 전체 인벤토리로 시작해야 합니다. 보안 팀은 소프트웨어 버전을 기록하고 어떤 어플라이언스가 Gateway 또는 AAA 가상 서버를 호스팅하며 SAML 액션이 구성되어 있는지 확인해야 합니다.

그런 다음 관리자들은 동시에 취약 버전 및 구성 전제 조건을 충족하는 인터넷에 노출된 시스템을 우선적으로 검토할 수 있습니다. SSL VPN, ICA Proxy, CVPN, RDP Proxy 또는 중앙 집중식 인증에 사용되는 어플라이언스는 내부 리소스에 접근을 직접 중재하기 때문에 특히 주의를 기울여야 합니다.

CVE-2026-19490 익스플로잇 시도 또는 의심스러운 사후 인증 동작을 탐지하려면 방어자는 다음과 같은 활동에 대해 NetScaler, AAA, VPN, SAML 및 하위 애플리케이션 텔레메트리를 검토해야 합니다:

• 예상되지 않은 인증 이벤트에 대응하지 않는 성공적인 세션
• 정상 로그인 시퀀스 없이 보호된 리소스에 대한 접근
• 비정상적인 SAML 관련 요청 또는 인증 플로우
• 존재하지 않거나 예상치 못한 아이덴티티에 대한 세션 수립
• Gateway 또는 AAA 가상 서버에 대한 인증되지 않은 요청의 급작스러운 증가
• 이전에는 보이지 않았던 IP 주소나 비정상적인 지리적 위치에서 시작된 새로운 원격 세션
• 겉보기의 인증 기록과 일치하지 않는 내부 애플리케이션 접근
• 의심스러운 원격 액세스 활동 이후의 예상치 못한 구성 수정

정확한 익스플로잇 요청이 공개적으로 문서화되지 않았기 때문에 이러한 행위는 취약성이 악용되었음을 고유하게 확인하는 것이 아니라 조사 단서로 취급해야 합니다.

보안 팀은 또한 가능한 경우 업그레이드하기 전에 NetScaler 인증 및 접근 로그를 기록으로 남겨야 합니다. 패치가 미래의 익스플로잇을 예방하지만 해결 전에 어플라이언스가 접근되었는지 여부를 결정할 수는 없습니다.

의심스러운 세션이 식별되면 사건 대응자는 영향받은 게이트웨이를 통해 접근된 리소스를 조사하고 하위 애플리케이션 로그를 검토하며 인증 및 SAML 활동을 조사하고 의심스러운 세션을 종료하며 필요한 경우 노출 가능성 있는 자격이나 토큰을 교체해야 합니다.

CVE-2026-19490 완화에는 지원되지 않는 NetScaler 설치를 지원되는 소프트웨어 브랜치로 이동하는 작업도 포함되어야 합니다. 더 이상 일반적인 보안 업데이트를 받지 못하는 장치는 새로 발견된 인증 및 메모리 안전성 취약성에 대한 향후 수정에 의존할 수 없기 때문에 추가적인 불확실성을 초래합니다.

영향받는 어플라이언스의 심각한 심각도와 네트워크를 향한 역할을 고려할 때, 조직은 정상 유지 관리 주기를 기다리는 대신 이를 시급한 경계 보안 업데이트로 취급해야 합니다. 인용된 두 보고서는 넷스케일러가 스캔 및 익스플로잇의 대상이 된 과거 때문에 기술 정보가 더 많이 공개되면서 취약한 시스템이 주목받을 가능성이 높아진다고 경고합니다.

영업팀 문의