시트릭스, 넷스케일러 원격코드실행 취약점 2건 악용 확인하고 수정판 공개

기본 설정 구성까지 들어간 영향 범위

넷스케일러 ADC와 게이트웨이는 기업 네트워크 경계에서 VPN과 원격 접속, 부하 분산, 사용자 인증을 처리하는 장비다. 시트릭스는 보안 공지 CTX697096을 내고 영향받는 제품의 수정판을 함께 배포했다.

CVE-2026-88771은 입력값 검증이 미흡해 인증받지 않은 공격자가 임의 명령을 실행할 수 있는 원격코드실행(RCE) 취약점이다. 영향 버전을 쓰는 모든 넷스케일러 ADC·게이트웨이 구성이 대상이며, 별도 기능을 켜 두지 않아도 영향을 받는다.

CVE-2026-88772는 메모리 오버플로 취약점으로, 원격코드실행이나 서비스 거부로 이어질 수 있다. 이 취약점은 DTLS라는 설정이 켜져 있는 장비가 영향을 받는다. DTLS는 VPN 가상 서버에서 기본으로 켜져 있어, 이를 명시적으로 끄지 않은 넷스케일러 게이트웨이도 영향 범위에 들어간다.

영향 버전과 수정 버전

영향 버전은 14.1-73.37 미만의 14.1과 13.1-64.23 미만의 13.1이다. FIPS 계열에서는 14.1-73.37 FIPS 미만의 ADC FIPS, 13.1-37.279 미만의 ADC FIPS와 NDcPP가 대상이다.

수정 버전은 14.1 계열이 14.1-73.37 이상, 13.1 계열이 13.1-64.23 이상이다. 14.1-FIPS는 14.1-73.37 FIPS 이상, 13.1-FIPS와 13.1-NDcPP는 13.1-37.279 이상을 적용해야 한다.

공지는 고객이 직접 관리하는 넷스케일러 ADC·게이트웨이와 넷스케일러 인스턴스를 사용하는 Secure Private Access Hybrid 구축 환경에 적용된다. 시트릭스 관리형 클라우드 서비스와 Adaptive Authentication은 시트릭스가 직접 업그레이드한다.

2026년 8월 CVE-2026-19490을 수정한 14.1-73.32와 13.1-63.21도 이번 취약점의 영향 범위에 포함돼 새 업데이트가 필요하다. 13.1 분기용 수정판은 해당 분기가 2026년 9월 15일 유지보수 종료 시점을 지난 뒤 제공됐다고 같은 매체는 전했다.

악용 정황과 남은 쟁점

시트릭스는 완화 조치가 적용되지 않은 넷스케일러 구축 환경에서 두 취약점의 악용이 관측됐다고 밝혔다. 이번 공지는 두 취약점에 대한 시트릭스의 첫 공개 발표였고, 두 취약점은 수정판이 나오기 전에 이미 공격에 악용된 제로데이였다.

같은 매체에 따르면 시트릭스는 악용 규모와 공격 주체, 공격 시작 시점을 밝히지 않았다. 공지에는 두 취약점의 우회 조치와 침해지표도 담기지 않았다.

이번 업데이트는 악용이 보고되지 않은 취약점 6건을 포함해 모두 8건을 수정했다. 추가로 수정된 취약점은 CVE-2026-88773부터 CVE-2026-88778까지 6건이다. 각각의 CVSS v4 점수는 9.3, 7.0, 8.8, 8.8, 8.8, 8.8이다.

시트릭스 발표에 앞서 보안기업 watchTowr는 패치되지 않은 넷스케일러 원격코드실행 취약점 여러 건이 실제 환경에서 악용되고 있다는 정보가 신뢰할 만하다고 공개 경고했다. 시트릭스는 자사가 공개한 두 취약점이 watchTowr가 언급한 취약점과 같은 것인지 밝히지 않았다고

발표 전 일부 관리자들은 IT 공급업체 보안팀과 법집행기관, CERT, 국가 사이버보안 기관으로부터 넷스케일러 장비를 중단하라는 연락을 받았다고 밝혔고, 일부는 장비를 오프라인으로 전환했다.