Citrix는 NetScaler ADC 장치와 원격 보안 액세스를 위한 NetScaler Gateway 솔루션에 존재하는 CVE-2026-107406 취약점이 치명적이라고 IT 관리자들에게 경고하고, 권장 업데이트를 즉시 설치할 것을 촉구했다. 이 문제는 메모리 범위 초과 결함에서 비롯되며, 이를 악용하면 대상 장치에서 원격으로 명령을 실행하거나 장치를 중단시키는 서비스 거부 상태를 일으킬 수 있다.
모든 NetScaler 배포가 반드시 위험에 노출되는 것은 아니다. 이 취약점은 장치가 보안 주장 마크업 언어(SAML) 프로토콜에서 ID 공급자 또는 서비스 공급자로 작동하도록 구성되어 있어야 한다. Citrix는 보안 권고문을 발표할 당시 실제 공격에서 이 취약점이 패치되지 않은 상태로 악용되고 있다는 증거를 확보하지 못했다고 밝혔다. 그러나 영향을 받는 고객들에게 권고문을 검토하고 가능한 한 신속하게 시스템을 업그레이드하라고 촉구했다.
Citrix가 권고하는 버전
회사는 문제를 해결하는 다음 버전 또는 이후 버전을 지정했다.
- NetScaler ADC 및 NetScaler Gateway 14.1-73.46 및 이후 버전.
- NetScaler ADC 및 NetScaler Gateway 13.1-64.29 및 13.1 브랜치의 이후 버전.
- NetScaler ADC 14.1-FIPS 버전 14.1-73.46 FIPS 및 14.1-FIPS 브랜치의 이후 버전.
- NetScaler ADC 13.1-FIPS 및 13.1-NDcPP 버전 13.1.37.283 및 두 브랜치의 이후 버전.
이 경고가 중요한 이유
Shadowserver는 인터넷에서 NetScaler 지문이 확인되는 21,000개 이상의 IP 주소를 모니터링하고 있다. 여기에는 1,500개를 조금 넘는 Gateway 인스턴스와 약 20,000개의 NetScaler ADC 장치가 포함된다. 이 수치는 실제로 노출된 운영 시스템, 허니팟 또는 이미 업데이트된 시스템의 수를 보여주는 것은 아니며, 모두 SAML 관련 설정을 사용한다는 점도 입증하지 않는다. 그러나 잠재적인 노출 범위의 규모를 보여준다.
패치의 우선순위는 최근 NetScaler 취약점 악용 기록을 배경으로 한다. 3월에 Citrix는 CVE-2026-3055와 CVE-2026-4368이라는 식별자가 부여된 두 취약점을 공격자들이 악용하기 시작하기 며칠 전에 고객들에게 해결을 촉구했다. 9월에는 CVE-2026-88771과 CVE-2026-88772라는 두 개의 원격 명령 실행 제로데이 취약점에 대한 업데이트를 발표했다. 이 취약점들은 웹 셸과 터널링 악성코드를 배포하고, 자격 증명을 탈취하며, 루트 권한으로 액세스하고, 내부 네트워크에서 측면 이동하는 데 악용됐다.
Citrix는 이달 초 CVE-2026-88779라는 서비스 거부 취약점에 대한 긴급 업데이트도 발표했다. 이후 연구원들과 시스템 관리자들은 이 취약점이 원격 명령 실행에도 악용될 수 있다고 밝혔다. 소식통에 따르면 미국 사이버보안 및 인프라 보안국(CISA)은 2021년 11월 이후 Citrix 제품에서 활발히 악용되고 있는 취약점 27개를 목록에 올렸으며, 이 중 7개는 랜섬웨어 공격과 관련됐다.
실무적으로 NetScaler 관리자는 먼저 SAML 설정이 활성화되어 있는지 확인한 다음, 버전 브랜치를 Citrix 지침과 대조하고 적절한 업데이트를 적용해야 한다. 현재 취약점에 대한 확인된 악용 사례가 없다고 해서 업데이트를 미루는 것이 안전하다는 뜻은 아니다. 특히 이전 제품 취약점은 경고가 나온 뒤 짧은 기간 내에 악용으로 이어졌기 때문이다.