Citrix NetScaler 제로데이, 표적 공격에서 SAML 배포 중단

NetScaler 인증 장애 취약점이 표적 공격에서 악용되며 패치 필요성 부각

• Citrix NetScaler ADC·Gateway의 CVE-2026-88779는 특정 SAML 구성에서 메모리 오버플로로 서비스 거부를 일으키는 고위험 취약점이다.
• 공격자는 NetScaler가 SAML 서비스 제공자(SP)나 인증 제공자(IdP)로 작동할 때 결함을 악용하며 Citrix는 미조치 장비를 겨냥한 공격을 확인했다.
• watchTowr는 NetScaler 허니팟 활동을 감지한 뒤 수시간 안에 재현했고 Bishop Fox와 함께 취약점 신고자로 Citrix의 공인을 받았다.
• CVE-2026-88779의 CVSS 점수는 8.7이며 CISA는 2026년 10월 4일 KEV에 등재해 미국 연방기관의 10월 7일까지 패치를 요구했다.
• 반복 공격은 서비스를 계속 사용할 수 없게 만들지만 Citrix는 현재 고객 데이터 무결성 침해는 확인하지 못해 가용성 중심 대응을 요구한다.
• 한국은 SAML 기반 원격접속 장비를 자산 목록과 연계해 즉시 식별하고 패치·우회인증·복구훈련을 산업 지원 기준에 반영해야 한다.

정책 담당자는 NetScaler의 SAML·Gateway·AAA 구성을 우선 점검하고, 공급업체 패치 기한과 독립적인 서비스 복구 검증을 함께 의무화해야 한다.

주요 용어: SAML(서비스 간 인증정보를 전달하는 표준), CVSS(취약점 위험도를 수치화한 점수), KEV(실제 악용 취약점 목록)

출처: The Hacker News