위협 피드

높음CVSS8.7#CVE-2026-88779 #NetScaler #Citrix #SAML #VPN 장비 #DoS

CVE-2026-88779 — NetScaler ADC/Gateway SAML 설정의 메모리 결함(DoS, 악용 확인): 해설 및 수정

CVE-2026-88779는 SAML SP 또는 IdP로 구성된 NetScaler ADC/Gateway의 메모리 결함으로, 인증 없이 DoS가 가능합니다. 2026년 10월 3일 수정 (14.1-73.41, 13.1-64.28).

게시 2026-10-05 업데이트 2026-10-05 최종 확인 2026-10-05 8분 읽기

이 페이지에서

이 글은 현재 활발하게 악용되고 있는 취약점(CISA KEV에 등재됨)에 대한 빠른 해설입니다. 무슨 일이 일어나는지, 누가 영향을 받는지, 어떻게 대응해야 하는지를 다루며, 방어자의 관점에서 작성했고 재현 절차는 포함하지 않습니다.

공지 요약

CVE: CVE-2026-88779 (벤더 공지 CTX697174)
심각도: 벤더: High / CVSS v4.0 8.7 (NVD는 아직 분석하지 않음; v3.1 점수 없음)
유형: 메모리 결함 (CWE-119: 메모리 버퍼 경계를 벗어난 작업)
영향: 벤더 분류: 서비스 거부(DoS). 코드 실행 가능성은 연구자들이 조사 중
전제 조건: 인증 불필요, 사용자 상호작용 불필요. SAML SP 또는 SAML IdP로 구성된 장비
영향 대상: NetScaler ADC / NetScaler Gateway 14.1 및 13.1, FIPS/NDcPP 빌드 포함, 수정 빌드 이전 버전
수정: 14.1-73.41 / 13.1-64.28 등, 2026년 10월 3일 공개 (9월 27일 빌드로는 수정되지 않음)
악용: CISA KEV 등재 (2026년 10월 4일 추가, 조치 기한 10월 7일), 포렌식 분류 필요로 표시됨

SAML

SP 또는 IdP로 구성된 장비에 영향

인증 없음

공격자에게 필요한 조건

7일

88771/88772 KEV 등재(9월 27일)부터 이번 등재(10월 4일)까지

0.3%

10월 4일 기준 EPSS — KEV 등재와 불일치

핵심 결론

NetScaler에서 SAML을 사용한다면, 9월 말에 패치했더라도 14.1-73.41 / 13.1-64.28로 다시 업데이트하세요

9월 27일 CVE-2026-88771/88772용으로 공개된 빌드는 이 결함을 수정하지 않습니다. NetScaler Gateway는 외부에서 들어오는 통로이므로 장애만으로도 피해가 크며, 코드 실행 가능성도 배제되지 않았습니다.

설정에 add authentication samlAction 또는 add authentication samlIdPProfile이 포함되어 있는지 확인하세요.
포함되어 있다면 오늘 중으로 해당 브랜치의 수정 빌드로 업데이트하세요(14.1-73.41 / 13.1-64.28 / 14.1-73.41 FIPS / 13.1-37.282 FIPS 및 NDcPP).
업데이트 전에 장비가 비정상 종료되었는지 확인하세요.
88771/88772 패치를 늦게 적용한 장비는 별도의 침입 점검이 필요합니다. 업데이트만으로는 이미 심어진 것이 제거되지 않습니다.

기다리는 것이 얼마나 위험한가요?

벤더는 DoS로 이어질 수 있는, 완화되지 않은 NetScaler 배포에 대한 표적 공격을 관찰했다고 밝혔습니다. NetScaler Gateway는 VPN 및 원격 접속의 진입점으로 쓰이므로, 이것이 중단되면 원격 업무도 함께 중단됩니다. 이 제품은 9월 이후 악용된 결함이 연이어 나왔습니다. CVE-2026-19490(인증 우회), 그다음 CVE-2026-88771/88772(코드 실행)입니다. 공격자들이 이 제품을 지속적으로 노리고 있다고 가정하세요.

어떤 종류의 결함인가요?

SAML은 다른 시스템에서 이루어진 로그인 결과를 전달하여 사용자를 인증하는 방식입니다. NetScaler는 그 결과를 받는 쪽(SP) 또는 발급하는 쪽(IdP)으로 동작할 수 있습니다. 벤더의 공지에 따르면, SAML 처리가 켜져 있는 장비에서 메모리 버퍼 경계를 벗어난 작업이 가능해지는 결함(CWE-119)이 있었습니다. 이 사이트는 악용 방법을 설명하지 않습니다.

벤더는 이를 서비스 거부로 분류하며, CVSS v4.0 벡터는 "인증 없음, 가용성 영향만 있음"이라고 명시합니다. 벤더는 고객 데이터의 무결성에 대한 영향은 확인하지 못했다고 밝혔습니다. 다만 연구자들은 이것이 DoS에만 그치지 않고 코드 실행에 사용되었을 수 있다는 관찰 결과를 보고했습니다. 이는 조사 중이며 확인되지 않은 상태입니다.

벤더의 입장 (공지 및 블로그)

메모리 손상으로 인한 서비스 거부로 분류
완화되지 않은 배포에 대한 표적 공격 관찰
고객 데이터 무결성에 대한 영향은 확인되지 않음

연구자들의 관찰 (보도 기준)

패치된 허니팟에서도 악성 프로그램이 실행된다는 보고
이것이 이 결함을 통한 코드 실행인지 여부는 조사 중
또 다른 SAML 설정 결함인 CVE-2026-8452는 DoS로 발표되었으나, 나중에 코드 실행으로 이어진다고 분석됨

14.1-73.37 이전: 88771/88772와 88779 모두 미수정

→ 업데이트하고, 침입 여부도 확인

14.1-73.37 (9월 27일 수정): 88779 미수정

→ SAML을 사용한다면 다시 업데이트

14.1-73.41 이상 (10월 3일 수정): 이 공지의 범위 밖

→ 13.1에서는 13.1-64.28 이상이 동등한 빌드

9월 27일 빌드로는 CVE-2026-88779가 수정되지 않습니다. SAML을 사용하는 장비는 10월 3일 이후 빌드가 필요합니다.

영향 대상

릴리스 라인	영향 받는 빌드	수정 빌드
NetScaler ADC / Gateway 14.1	14.1-73.41 이전	14.1-73.41 이상
NetScaler ADC / Gateway 13.1	13.1-64.28 이전	13.1-64.28 이상
NetScaler ADC 14.1-FIPS	14.1-73.41 FIPS 이전	14.1-73.41 FIPS 이상
NetScaler ADC 13.1-FIPS / 13.1-NDcPP	13.1-37.282 이전	13.1-37.282 이상

전제 조건은 SAML SP 설정(add authentication samlAction) 또는 SAML IdP 설정(add authentication samlIdPProfile)입니다.
NetScaler를 사용하는 Secure Private Access 하이브리드 배포는 영향을 받으며, 고객이 해당 NetScaler 인스턴스를 업데이트합니다.
벤더는 Citrix 관리형 클라우드 서비스와 Adaptive Authentication을 업데이트합니다.
공지에는 지원되는 라인만 나열되어 있습니다. 지원이 종료된 라인을 사용 중이라면 지원되는 라인으로 옮기세요.

대응 방법

SAML 사용 여부 확인

NetScaler 설정에서 add authentication samlAction(SAML SP) 또는 add authentication samlIdPProfile(SAML IdP)을 찾으세요. 둘 중 하나라도 있으면 해당 장비가 대상입니다. 여러 대라면 각각 확인하세요(보안 인벤토리 체크리스트).

수정 빌드로 업데이트 (최우선)

해당 라인의 수정 빌드 이상(14.1-73.41 / 13.1-64.28 / 14.1-73.41 FIPS / 13.1-37.282)으로 이동하세요. 9월 27일 빌드(14.1-73.37 등)를 사용하는 장비도 포함됩니다. 업데이트 후에는 실제로 실행 중인 빌드 번호를 확인하세요. 이 공지(CTX697174)는 세션 종료 등 업데이트 후 추가 절차를 제시하지 않습니다.

즉시 업데이트할 수 없다면 임시 조치

공지에는 우회 방법이 없습니다. 보도에 따르면 벤더 블로그는 업데이트 전까지의 임시 조치로 NetScaler의 Global Deny List(알려진 공격 출처의 트래픽을 차단하는 기능)를 가리키고 있습니다. 이는 업데이트를 대체하지 않습니다.

비정상 종료 및 침입 여부 점검

CISA는 이 CVE에 대해 포렌식 분류를 요구합니다. 먼저 업데이트 전에 장비가 비정상적으로 중단되었거나 재시작되었는지 확인하고, 그렇다면 벤더 지원팀에 문의하세요. 9월 27일 이후 88771/88772 수정을 적용한 장비는 벤더의 의심 침해 시 조치 절차(CTX694799)와 JPCERT/CC 경보에 나열된 점검 항목(의심스러운 웹 서버 설정 변경, 낯선 파일, 의심스러운 권한 변경 등)으로 확인해야 합니다.

침입 징후가 있다면 '패치 완료'로 끝내지 마세요

업데이트는 취약점을 막지만, 이미 설치된 백도어나 이미 탈취된 자격 증명을 제거하지는 않습니다. 장비를 재구축하고, 장비에 저장된 인증서, 키, 비밀번호를 교체하며, 이 장비를 통해 로그인한 계정을 검토하세요. 전체 절차는 취약점 대응 플레이북에 있습니다.

이 결함 직전에 악용된 결함: CVE-2026-88771 / 88772

2026년 9월 27일 벤더는 취약점 8개를 공개하고 그중 2개의 악용을 확인했습니다. CISA는 같은 날 두 건을 모두 KEV에 추가했습니다.

CVE-2026-88771: 부적절한 입력값 검증(CWE-20)으로 인증되지 않은 공격자가 임의 명령을 실행할 수 있음. JPCERT/CC에 따르면 기본 설정을 포함한 모든 구성이 영향을 받음
CVE-2026-88772: 메모리 결함(CWE-119)으로 코드 실행 또는 DoS 발생. 기본적으로 켜져 있는 Gateway VPN 가상 서버의 DTLS 사용 구성에 영향
14.1-73.37, 13.1-64.23 등에서 수정. JPCERT/CC는 일본 내 NetScaler에 대한 공격 시도가 9월 24일부터 관찰되었다고 밝힘
JPCERT/CC가 인용한 한 위협 인텔리전스 팀의 보고서는 88772 이후의 침해 후 활동, 예를 들어 접근 권한 유지를 위한 웹 셸 설치를 설명함

그 이전인 9월 9일에는 CVE-2026-19490(Gateway 및 AAA 가상 서버 설정의 인증 우회)도 KEV에 추가되었습니다.

이 사이트의 견해: VPN 장비에서는 'DoS만'이라도 최우선으로 다루세요

벤더는 이 결함을 DoS로 분류하고, EPSS(향후 30일간 악용될 추정 확률)는 0.3%로 낮습니다. 그럼에도 다음 세 가지 이유로 코드 실행 결함과 같은 우선순위를 두어야 한다고 봅니다.

첫째, NetScaler Gateway는 외부에서 들어오는 통로이므로 장애 자체가 큰 비용입니다. 둘째, 또 다른 SAML 설정 결함인 CVE-2026-8452는 DoS로 발표되었으나 나중에 코드 실행으로 이어진다고 분석되었습니다. 분류는 바뀔 수 있습니다. 셋째, 이 제품은 약 한 달 사이에 악용된 결함이 4건이나 있었고, 장비는 업데이트 직후 다시 업데이트해야 하는 상황입니다.

VPN 장비를 운영한다는 것은 한 달에 여러 번 긴급 업데이트를 적용할 수 있어야 한다는 전제를 갖습니다. 그렇지 못하다면, 이 장비를 계속 운영할지 여부 자체를 검토해야 합니다(VPN 장비 방어).

출처

Cloud Software Group — CTX697174: CVE-2026-88779 보안 공지 (2026년 10월 3일 미국 태평양 시간 공개; 전제 조건, 영향 및 수정 빌드, CVSS v4.0 8.7)
NVD — CVE-2026-88779 (5일 기준 상태 "Received", 아직 분석되지 않음; CWE-119)
CISA KEV — Known Exploited Vulnerabilities Catalog (2026년 10월 4일 추가, 10월 7일 기한, 포렌식 분류 필요)
JPCERT/CC — CVE-2026-88771, CVE-2026-88772 외 관련 경보 (일본어; 9월 28일 게시, 10월 2일 갱신; 10월 5일 기준 CVE-2026-88779 경보 없음) / CVE-2026-8452 경보 (일본어)
IPA — NetScaler ADC 및 NetScaler Gateway 취약점(CVE-2026-88771, CVE-2026-88772 외) (일본어)
언론 — BleepingComputer (벤더 블로그의 발표 내용과 가능한 코드 실행에 대한 연구자들의 관찰; 이 글은 사실 정보와 방어자 측 점검 사항만 사용)
FIRST — EPSS (2026년 10월 4일 기준 0.0028)

다음으로 읽을 글

FAQ

QCVE-2026-88779로 무엇이 가능한가요?

벤더(Cloud Software Group)의 공지에 따르면, NetScaler ADC/Gateway의 메모리 처리 결함(CWE-119)으로 서비스 거부(DoS)가 발생합니다. CVSS v4.0 벡터는 인증이나 사용자 상호작용이 필요 없으며 가용성에만 영향을 준다고 명시합니다. CISA는 활발한 악용을 확인한 후 2026년 10월 4일 이를 KEV에 추가했습니다.

Q어떤 장비가 영향을 받나요?

공지의 전제 조건은 NetScaler ADC 또는 Gateway가 SAML SP(서비스 제공자) 또는 SAML IdP(ID 제공자)로 구성되어 있는 것, 즉 설정에 add authentication samlAction 또는 add authentication samlIdPProfile이 포함된 경우입니다. 영향을 받는 빌드는 14.1-73.41 이전, 13.1-64.28 이전, 14.1-73.41 FIPS 이전, 그리고 13.1 FIPS/NDcPP의 13.1-37.282 이전입니다.

Q9월 말에 CVE-2026-88771/88772를 패치했습니다. 보호되나요?

아니요. 88771/88772를 수정한 빌드(14.1-73.37, 13.1-64.23 등)는 이번 수정(14.1-73.41, 13.1-64.28 등)보다 이전 버전이므로 CVE-2026-88779가 여전히 존재합니다. 다시 업데이트하세요.

QDoS뿐이라면 나중에 해도 되나요?

아니요. NetScaler Gateway는 원격 접속의 진입점이므로, 장애가 발생하면 조직 전체의 원격 업무가 중단됩니다. 연구자들은 이 결함이 DoS뿐 아니라 코드 실행에 사용되었을 수 있다는 관찰 결과도 보고했으며, 이는 조사 중입니다(벤더는 DoS로 분류). 또 다른 SAML 설정 결함인 CVE-2026-8452도 DoS로 발표되었으나, 일부 조건에서 코드 실행으로 이어진다고 나중에 분석되었습니다.

QCitrix 관리형 클라우드 서비스를 사용하면 어떻게 되나요?

공지는 고객이 직접 관리하는 NetScaler를 대상으로 합니다. 벤더는 Citrix 관리형 클라우드 서비스와 Adaptive Authentication을 직접 업데이트합니다. 다만 NetScaler를 사용하는 Secure Private Access 하이브리드 배포는 영향을 받으며, 고객이 해당 NetScaler 인스턴스를 직접 업데이트해야 합니다.