CVE-2026-88771 and CVE-2026-88772: Critical Citrix NetScaler Zero-Days Exploited in the Wild

Citrix는 공격자들이 실제 공격에서 두 가지의 높은 심각성의 제로데이 취약점을 악용하고 있음을 확인한 후 NetScaler ADC와 NetScaler Gateway에 영향을 미치는 두 개의 치명적인 제로데이 취약점에 대한 긴급 보안 업데이트를 배포했습니다. CVE-2026-88771 및 CVE-2026-88772로 추적되며, 이들 취약점은 각각 9.5의 CVSS v4.0 점수를 가지며 취약한 장비에서 인증되지 않은 원격 코드 실행을 가능하게 합니다.

이러한 결함은 특히 위험한데, 이는 NetScaler 장비가 일반적으로 기업 네트워크의 경계에 위치하여 애플리케이션 전달, VPN 접근, 인증, 원격 연결을 제공하기 때문입니다. 따라서 성공적인 침해는 외부 사용자와 내부 인프라 사이에 전략적으로 가치 있는 발판을 공격자에게 제공할 수 있습니다.

CVE-2026-88771은 잘못된 입력 유효성 검사로 인해 발생하며, 인증되지 않은 공격자가 원격으로 임의의 명령을 실행할 수 있게 합니다. 선택적 기능이나 특별한 구성이 요구되지 않으며, 기본 설정에서도 취약한 NetScaler ADC 및 Gateway 배포는 노출되어 있습니다.

CVE-2026-88772는 원격 코드 실행 또는 서비스 거부를 초래할 수 있는 메모리 오버플로우 취약점입니다. DTLS가 활성화된 경우에만 악용이 가능하지만 Citrix는 DTLS가 기본적으로 VPN 가상 서버에서 활성화되어 있다고 명시하고 있으며, 많은 NetScaler Gateway 배포가 명시적으로 기능을 끄지 않으면 잠재적으로 노출될 수 있습니다.

CISA는 글로벌 악용이 확인된 보고서와 파트너 인텔리전스를 이유로 2026년 9월 27일 두 취약점을 ‘알려진 악용 취약점’ 목록에 추가했습니다. 연방 민간 행정부 기관들은 9월 30일까지 Citrix의 수정을 적용해야 했습니다.

영업 문의

CVE-2026-88771 및 CVE-2026-88772 분석

두 개의 제로데이는 침해로 가는 다른 기술적 경로를 제공하지만 유사하게 심각한 결과를 초래합니다.

CVE-2026-88771 분석 CWE-20으로 분류되는 잘못된 입력 유효성 검사 약점에 중점을 두고 있습니다. Citrix는 인증되지 않은 네트워크 공격자가 취약한 NetScaler 장비에서 임의의 명령을 실행할 수 있다고 명시합니다.

이 취약점은 특별한 배포 모드를 필요로 하지 않습니다. CVE-2026-88771은 영향을 미칩니다 기본 구성으로 실행 중인 시스템을 포함한 모든 취약한 NetScaler ADC 및 NetScaler Gateway 설치

그의 CVSS 4.0 벡터는 다음과 같습니다:

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

이 취약점은 원격에서 접근 가능하며, 공격자 권한이나 피해자 상호작용을 요구하지 않으며, 기밀성, 무결성, 가용성에 걸쳐 높은 영향을 미칠 수 있습니다.

CVE-2026-88772은 다른 경로를 취합니다. 이 취약점은 CWE-119, 메모리 버퍼의 경계 내 작업의 부적절한 제한으로 분류됩니다. 취약한 DTLS 경로를 통해 트리거된 메모리 손상은 원격 코드 실행이나 서비스 거부를 유발할 수 있습니다.

주요 사항 CVE-2026-88772의 구성과 관련된 세부 사항은 NetScaler ADC나 Gateway에서 DTLS가 활성화되어 있을 때 취약한 상태가 존재합니다. Citrix는 특히 DTLS가 VPN 가상 서버에서 기본적으로 활성화되어 있다고 경고합니다.

예를 들어, 다음과 같은 구성:

add vpn vserver vpn1 SSL 10.0.0.0 443 -Listenpolicy NONE

는 DTLS를 명시적으로 비활성화하지 않으며, 이는 VPN 가상 서버가 계속 노출됨을 의미합니다.

다음 구성을 포함하고 있는 경우:

-dtls OFF

는 이 특정 취약점에 대한 문서화된 전제 조건을 충족하지 않습니다.

DTLS 유형으로 직접 구성된 다른 가상 서버들도 취약한 기능을 노출할 수 있습니다.

CVE-2026-88772는 다음 CVSS 4.0 벡터를 가지고 있습니다:

CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Citrix는 공격 복잡성을 CVE-2026-88771보다 높게 평가하지만, 성공적인 악용은 여전히 인증되지 않은 RCE를 제공하고, 영향을 받은 장비의 완전한 침해를 초래할 수 있습니다.

두 취약점은 각각의 수정된 버전 이전의 다음 지원되는 NetScaler 릴리즈에 영향을 미칩니다:

• NetScaler ADC 및 NetScaler Gateway 14.1 14.1-73.37 이전
• NetScaler ADC 및 NetScaler Gateway 13.1 13.1-64.23 이전
• NetScaler ADC FIPS 14.1 14.1-73.37 FIPS 이전
• NetScaler ADC FIPS 및 NDcPP 13.1 13.1-37.279 이전

문제가 있는 NetScaler 인스턴스를 사용하는 보안 개인 액세스 하이브리드 배포도 업그레이드가 필요합니다.

Citrix 관리 클라우드 서비스와 Citrix 관리 적응형 인증은 이러한 관리 서비스를 위한 필요한 소프트웨어 업데이트를 적용하는 클라우드 소프트웨어 그룹에 의해 처리됩니다.

공개는 이전 주말에 보통이 아닌 경고에 따라 이루어졌습니다. Citrix가 CVE 식별자와 패치를 공개하기 전에, 보안 연구원들과 사건 대응자들은 여러 이전 공개되지 않은 NetScaler 원격 코드 실행 취약점이 인터넷을 대상으로 하는 장비에 대해 악용되고 있다는 증거를 보고했습니다. 일부 조직은 공식적인 해결책을 기다리는 동안 취약한 시스템을 고립시키거나 일시적으로 종료하라는 조언을 받은 것으로 알려졌습니다.

Citrix는 9월 27일 CTX697096을 게시하며 두 취약점의 악용이 완화되지 않은 배포에서 관찰되었음을 확인했습니다.

정확한 비공개 발견 날짜는 공개되지 않았으며, Citrix는 공격의 위협 행위자를 확인하거나 착수 시점을 확정하지 않았습니다.

이 공격은 경계 장비가 매력적인 초기 발판을 제공하기 때문에 중요합니다. NetScaler 시스템에서의 성공적인 명령 또는 코드 실행은 공격자가 지속적인 페이로드를 배포하고, 인증 자료에 접근하며, 트래픽을 검사하고, 자격 증명을 훔치고, 구성을 변경하거나 장비에서 접근 가능한 시스템으로 확장할 수 있게 할 수 있습니다.

이것들은 장비 침해의 잠재적 결과입니다. Citrix는 관찰된 모든 공격에 사용된 완전한 사후 침해 체인을 공개적으로 문서화하지 않았습니다.

현재까지 신뢰할 수 있으며 독립적으로 검증된 완전히 무기화된 공개 CVE-2026-88771 PoC 는 Citrix의 자문서나 두 개의 요청된 보고서에 참조되지 않았습니다. 이는 즉각적인 위험을 낮추지 않으며: Citrix와 CISA는 이미 공격자들이 작동하는 악용 능력을 보유하고 있음을 확인했습니다.

Citrix는 NetScaler 콘솔 보안 자문 워크플로우를 통해 일반적인 침해 탐지 기능을 제공합니다. 이 기능은 원격 측정을 필요로 하며 콘솔 서비스와 클라우드 연결을 사용하는 지원되는 온프레미스 콘솔 배포에서 사용할 수 있습니다.공격자 특정의 종합적이고 공공적인

There is no comprehensive public set of attacker-specific CVE-2026-88772 IOC 는 출처 자료에 IP 주소, 멀웨어 해시, 도메인 또는 명령 문자열 같은 항목을 포함하지 않습니다. 따라서 조직은 알려진 IOC와의 일치 부재를 장비가 깨끗하다는 증거로 간주해서는 안 됩니다.

Citrix는 가용한 검사로 모든 공격자 기술을 다루기 부족하며 모든 침해를 식별하지 못할 수 있다고 특별히 경고합니다. 따라서 외부 로그 및 법의학 증거는 중요합니다.

CVE-2026-88771 및 CVE-2026-88772 완화책

Citrix는 영향받은 모든 NetScaler ADC 및 Gateway 장비를 즉시 업그레이드할 것을 강력히 권고합니다.

해결된 빌드는 다음과 같습니다:

• NetScaler ADC / Gateway 14.1-73.37 이상
• NetScaler ADC / Gateway 13.1-64.23 이상
• NetScaler ADC 14.1-FIPS 14.1-73.37 FIPS 이상
• NetScaler ADC 13.1-FIPS / NDcPP 13.1-37.279 이상

13.1을 실행하는 관리자도 Citrix의 최신 업그레이드 지침을 검토해야 합니다. Citrix는 NetScaler 변수들을 사용하는 일부 배포는 13.1-64.23 업그레이드 동안 재부팅 루프 문제를 겪을 수 있으며 가능한 경우 13.1-64.24를 계획할 것을 권고합니다.

CVE-2026-88771의 경우 관리자가 단순히 비활성화할 수 있는 구성 전제 조건이 없습니다. 이 취약점은 기본 구성에 영향을 주므로 노출을 줄이는 것으로 공급업체 업데이트 설치를 대체할 수 없습니다.

주요 CVE-2026-88772 완화책 은 고정된 버전으로 업그레이드하는 것입니다. 관리자는 또한 취약한 DTLS 조건이 존재하는지 여부를 판단하고 운영적으로 적절한 경우 패치가 완료될 때까지 VPN 가상 서버에서 DTLS를 명시적으로 비활성화할 수 있습니다. 이는 해당 CVE에 대한 노출 감소로만 간주해야 하며 장비를 업데이트하는 대체 수단이 아닙니다.

악용이 이미 발생했으므로 방어자는 패치 및 사건 대응 조치로 이 문제를 접근해야 합니다.

CVE-2026-88771 탐지 는 모든 고객 관리 NetScaler ADC 및 Gateway 장비를 식별하고, 그의 정확한 실행 빌드를 결정하고, 인터넷에 접근 가능했는지 여부를 확정하는 것에서 시작해야 합니다.

두 번째 결함에 대해 보안 팀은 DTLS가 활성화된 VPN 또는 기타 가상 서버의 실행 구성을 조사해야 합니다.

To CVE-2026-88772 탐지 또는 두 제로데이와 관련된 의심스러운 활동에 대한 탐지는 다음을 조사해야 합니다:

• NetScaler 장비에서 예상치 못한 명령이나 프로세스
• 합법적이지 않은 관리적 설명이 없는 새로 생성되거나 수정된 파일
• 설명의 없는 구성 변경
• 새로운 또는 수정된 인증 설정
• 장비에서의 비정상적인 외부 연결
• 내부 서버를 향한 NetScaler로부터의 예상치 못한 연결
• 장비 충돌 또는 설명되지 않은 재시작
• 의심스러운 외부 액세스 기간 동안의 승인되지 않은 변경 사항을 나타내는 타임스탬프
• 새로운 지속성 메커니즘 또는 웹 접근 가능한 파일
• 장비와 관련된 비정상적인 인증 활동
• 로컬 장치 로그와 외부에 저장되어 있는 SIEM 또는 네트워크 원격 측정 간의 차이점

이러한 동작은 취약점을 위한 고유한 서명이 아니라 조사 단서입니다.

조직은 NetScaler 콘솔을 통한 Citrix의 가용한 IOC 스캔을 실행해야 하지만 그곳에서 멈추어서는 안 됩니다. Citrix는 깨끗한 스캔으로 악용이 발생하지 않았음을 확실히 증명할 수 없다고 경고합니다.

장비 로그를 외부 SIEM으로 전송하는 것은 특히 가치가 있습니다. 경계 장비에서 코드 실행을 한 공격자는 로컬 증거를 변경하거나 제거할 수 있을 수 있습니다. 반면 방화벽, 인증, DNS, NetFlow, 프록시 및 SIEM 기록은 손상된 시스템 밖에 남아 있습니다.

CISA는 또한 두 취약점의 수정을 위한 포렌식 분류를 강조했습니다.

침해가 의심되는 경우 권장 대응 조치는 다음을 포함합니다:

• 영향받은 NetScaler 인스턴스에서 증거 보존
• 장비 고립
• 영향받은 자격 증명 및 접근 권한 철회
• 장비가 통신했던 시스템 조사
• 침해된 장비 다시 구축
• 수정된 펌웨어 릴리즈로 업그레이드
• 로컬 계정 비밀번호 회전
• 적절한 경우 키 암호화 키 회전
• 알려진 양질의 백업에서 복원하는 경우 SSL 인증서 교체
• Citrix 보안 지침에 따라 다시 구축된 장비 강화

이전에 침해된 장비에 패치를 적용한다고 해서 이미 존재할 수 있는 지속성, 웹 셸, 도난된 자격 증명 또는 기타 공격자 아티팩트를 제거하지는 않습니다.

따라서 알려진 악용 기간 동안 노출되었던 인터넷에 노출된 취약한 장비는 소급적인 조사가 필요하다고 간주해야 합니다.