핵심 POINT
Citrix는 10월 8일 NetScaler ADC·Gateway의 메모리 오버플로우 취약점(CVE-2026-107406, CVSS v4.0 9.5)을 공지하고 수정 빌드를 함께 공개했습니다.
SAML 인증 연동(SP 또는 IdP)과 영향 빌드 조건이 함께 맞을 때 해당됩니다. 구성에 SAML 항목이 있는지부터 확인하면 됩니다.
해당되는 장비는 14.1-73.46, 13.1-64.29 이상 등 수정 빌드로 업그레이드해야 합니다. 공개 시점에는 악용 사례가 확인되지 않았다고 알려졌습니다.
NetScaler(넷스케일러) 취약점 공지, 우리 회사 원격접속 장비도 해당될까? SAML 설정부터 확인하세요!
Citrix 제품을 공급하는 Cloud Software Group은 2026년 10월 8일 보안 공지(CTX697191)를 통해 NetScaler ADC와 NetScaler Gateway의 치명적 수준 취약점 CVE-2026-107406을 공개했습니다. 한국인터넷진흥원(KISA)도 10월 12일 보호나라에 같은 취약점에 대한 보안 업데이트 권고를 게시했습니다. 해외 보안 매체 BleepingComputer는 10월 9일 이 내용을 보도하며 Citrix가 공개 시점에 악용 사례를 확인하지 못했다고 전했습니다.
이름이 낯선 분도 많을 것입니다. 넷스케일러는 회사 앞단에서 접속 요청을 나눠주고 원격접속 관문 역할을 하는 장비 소프트웨어입니다. 이번 공지는 그 가운데 SAML이라는 로그인 연동 기능을 쓰는 장비에서 메모리 처리 오류로 원격 코드 실행이나 서비스 거부로 이어질 수 있다는 내용입니다.
이번 글에서는 넷스케일러가 어떤 장비인지 쉽게 풀어 설명하고, Citrix 공지를 기준으로 우리 장비가 해당되는지 확인하는 순서와 수정 버전을 정리합니다. 이후 대응 순서와 인터넷에 노출된 접속 장비를 관리할 때 확인할 점도 함께 살펴보겠습니다.
■ 넷스케일러는 어떤 장비이고 왜 점검 대상이 되나요?
출처: AI(ChatGPT) 생성 이미지
넷스케일러(NetScaler)는 이전에 Citrix ADC와 Citrix Gateway로 불리던 제품군입니다. ADC는 애플리케이션 전송 컨트롤러의 약자로, 사용자가 몰리는 웹 서비스 앞에서 요청을 여러 서버에 나눠주는 로드밸런싱 역할을 합니다. Gateway는 임직원이 외부에서 사내 시스템에 안전하게 접속하도록 돕는 원격접속 관문입니다.
건물 로비의 출입 게이트를 떠올리면 이해하기 쉽습니다. 방문객은 게이트를 지나야 건물 안으로 들어갈 수 있고, 게이트는 누구를 들일지 확인하는 역할을 합니다. 넷스케일러가 이런 관문 역할을 하다 보니 인터넷과 사내망 사이에 놓이는 경우가 많고, 그만큼 제조사 공지와 패치 소식이 나올 때 빠르게 확인하는 것이 중요합니다.
이는 특정 제품에만 해당하는 이야기가 아닙니다. 인터넷에 열려 있는 모든 접속 장비와 소프트웨어는 취약점이 발견되고 수정되는 과정을 반복하며, 공개된 보안 공지와 패치를 제때 적용하는 것이 정상적인 보안 관리의 일부입니다. 이번 건도 제조사가 공지와 수정 빌드를 함께 제공했습니다.
■ CVE-2026-107406에서 공식 공지가 밝힌 내용
Citrix 보안 공지에 따르면 이 취약점은 메모리 오버플로우(CWE-119)로 분류되며, 조건이 맞으면 원격 코드 실행이나 서비스 거부로 이어질 수 있다고 설명됩니다. 심각도는 Critical이고 CVSS v4.0 기본 점수는 9.5입니다. 이 취약점은 외부 보안 연구팀의 제보로 알려졌다고 공지에 표기돼 있습니다.
핵심 조건은 장비가 SAML 서비스 공급자(SP) 또는 SAML 신원 제공자(IdP)로 구성되어 있는지입니다. SAML은 한 번 로그인한 정보를 여러 서비스가 함께 인정하도록 하는 인증 연동 표준입니다. 장비에 이 기능을 설정해 두지 않았다면 이번 공지가 설명하는 조건에는 해당하지 않습니다. 다만 이 판단은 이번 CVE 하나에 대한 것이므로, 다른 공지는 따로 확인해야 합니다.
악용 여부에 대해서는 BleepingComputer와 보안 업계 공지가 Citrix가 공개 시점에 조치되지 않은 장비를 노린 악용 사례를 확인하지 못했다고 전했습니다. 다만 Citrix 공지 본문에서는 악용 여부나 임시 우회 방법이 별도로 설명돼 있지 않습니다. 공개 이후 상황은 달라질 수 있어 수정 빌드 적용을 서두르는 편이 좋습니다. 이 공지는 고객이 직접 관리하는 장비에 적용되며, Citrix가 관리하는 클라우드 서비스는 Cloud Software Group이 업데이트한다고 안내돼 있습니다.
■ 우리 장비가 해당되는지 확인하는 3단계
출처: AI(ChatGPT) 생성 이미지
아래 순서로 확인하면 해당 여부를 빠르게 가릴 수 있습니다. 세부 절차와 최신 내용은 Citrix 공지 CTX697191을 기준으로 확인하시기 바랍니다.
| 단계 | 확인 내용 |
|---|---|
| 1. 관리 주체 확인 | 고객이 직접 관리하는 장비인지, Citrix가 관리하는 클라우드 서비스인지 구분합니다. 공지는 직접 관리하는 장비에 적용됩니다. |
| 2. SAML 구성 여부 확인 | 장비 구성에서 SP 설정인 add authentication samlAction 항목, IdP 설정인 add authentication samlIdPProfile 항목이 있는지 확인합니다. |
| 3. 빌드 버전 대조 | 아래 표의 영향 빌드와 현재 버전을 비교합니다. IdP로 구성된 경우와 SP 또는 IdP로 구성된 경우의 영향 범위가 다릅니다. |
[표] CVE-2026-107406 해당 여부 확인 3단계
빌드 버전별 영향 범위는 Citrix 공지 기준으로 아래와 같습니다.
| 구성 | 영향 빌드 | 수정 빌드 |
|---|---|---|
| SAML IdP로 구성 | 14.1-73.37 ~ 14.1-73.41, 13.1-64.23 ~ 13.1-64.28, 13.1-FIPS 및 NDcPP 13.1-37.279 ~ 13.1-37.282 | 14.1-73.46 이상, 13.1-64.29 이상, 13.1-FIPS 및 NDcPP 13.1-37.283 이상 |
| SAML SP 또는 IdP로 구성 | 14.1-73.37 미만, 13.1-64.23 미만, 13.1-FIPS 및 NDcPP 13.1-37.279 미만 | 14.1-73.46 이상, 13.1-64.29 이상, 13.1-FIPS 및 NDcPP 13.1-37.283 이상 |
[표] 구성별 영향 빌드와 수정 빌드 (Citrix 공지 CTX697191 기준)
Citrix 공지는 Secure Private Access Hybrid 환경에서 NetScaler 인스턴스를 쓰는 경우도 영향 대상으로 안내하고 있습니다. 해당 환경을 운영한다면 같은 기준으로 확인하시기 바랍니다. KISA 권고는 영향 제품과 해결 버전을 단순화해 정리하고 있으므로, 세부 조건은 Citrix 공지를 함께 보는 것이 좋습니다.
■ 해당된다면 어떤 순서로 조치할까요?
출처: AI(ChatGPT) 생성 이미지
Citrix는 영향을 받는 고객에게 가능한 한 빨리 수정 빌드로 업그레이드할 것을 강하게 권고했습니다. 공지에 별도 우회 방안이 적혀 있지 않으므로, 업그레이드 일정을 먼저 잡는 것이 우선입니다. 아래 순서는 제조사 권고와 일반적인 변경 관리 원칙을 바탕으로 정리한 것입니다.
❶ 점검 대상 장비 목록과 버전 파악
인터넷에 노출된 넷스케일러 장비가 몇 대인지, 각각 어떤 빌드와 인증 구성을 쓰는지 목록으로 정리합니다. 장비가 여러 대이거나 이중화돼 있다면 한 대만 확인하고 끝내지 않도록 주의해야 합니다.
❷ 수정 빌드로 업그레이드 일정 확정
수정 빌드는 14.1-73.46 이상, 13.1-64.29 이상, 13.1-FIPS 및 NDcPP는 13.1-37.283 이상입니다. 서비스 영향이 있을 수 있으므로 점검 시간을 정해 이중화 구성의 순서와 롤백 절차를 미리 확인한 뒤 적용하는 것이 안전합니다.
❸ 적용 후 버전과 서비스 상태 재확인
업그레이드 후에는 빌드 번호가 수정 버전 이상인지, SAML 연동 로그인이 정상 동작하는지 확인합니다. 변경 이력도 남겨 두면 이후 점검에 도움이 됩니다.
KISA는 이번 권고에서 업데이트 절차를 Citrix 지원 문서 CTX697191을 참고하라고 안내했습니다. 문의는 한국인터넷진흥원 사이버민원센터(국번 없이 118)로 할 수 있습니다. 같은 제품의 이전 취약점에 대한 기술 분석은 SK쉴더스 EQST Now의 CVE-2026-8451 분석에서 확인하실 수 있습니다.
■ 인터넷에 열린 접속 장비를 관리할 때 확인할 점
이번 공지를 계기로 한 번 더 점검해 볼 항목을 정리했습니다. 특정 제품에 한정된 내용이 아니라 인터넷에 열린 접속 장비 전반에 적용되는 관리 원칙입니다.
❶ 외부에 노출된 장비 목록 최신화
어떤 장비가 인터넷에 열려 있는지 정기적으로 확인합니다. 담당자가 바뀌면서 목록에서 빠진 장비가 없는지도 점검 대상입니다.
❷ 제조사와 KISA 공지 구독
제조사 보안 공지와 KISA 보호나라 보안공지를 담당자가 정기적으로 확인하는 절차를 마련합니다. 공지가 나온 뒤 며칠 안에 영향 여부를 판단하는 기준 시간을 정해 두면 대응이 빨라집니다.
❸ 인증 연동 구성 현황 파악
SAML처럼 인증을 연동하는 기능을 어느 장비에서 쓰는지 알고 있어야 공지가 나왔을 때 영향 범위를 빠르게 판단할 수 있습니다. 같은 제품이라도 구성에 따라 해당 여부가 달라지기 때문입니다.
인터넷에 노출된 자산의 취약점 점검은 담당자 혼자 지속하기 어려운 영역입니다. SK쉴더스는 인프라와 접속 장비의 취약점 진단, 모의해킹, 보안관제와 보안 컨설팅 등 노출 자산을 점검하고 사고에 대비하는 다양한 서비스를 제공합니다. 외부에 열린 장비의 관리 현황이 걱정되신다면 SK쉴더스와 함께 점검 범위와 우선순위부터 정리해 보시기 바랍니다.
■ 자주 묻는 질문
Q. 넷스케일러(NetScaler)가 정확히 무엇인가요?
A. 이전에 Citrix ADC와 Citrix Gateway로 불리던 제품군으로, 웹 서비스 앞에서 요청을 여러 서버에 나눠주는 기능과 임직원 원격접속 관문 기능을 제공합니다. 인터넷과 사내망 사이에 놓이는 경우가 많아 제조사 공지를 빠르게 확인하는 것이 중요합니다.
Q. SAML 기능을 쓰지 않으면 이번 취약점에 해당하지 않나요?
A. Citrix 공지는 장비가 SAML SP 또는 IdP로 구성된 경우를 조건으로 설명합니다. 해당 구성이 없다면 이 공지의 조건에는 맞지 않지만, 다른 보안 공지가 따로 있을 수 있으므로 장비의 현재 빌드가 최신 권고 기준에 맞는지도 확인하시기 바랍니다.
Q. 이미 실제 공격에 악용되고 있나요?
A. BleepingComputer 등은 Citrix가 공개 시점에 조치되지 않은 장비를 노린 악용 사례를 확인하지 못했다고 전했습니다. 다만 공개 이후 상황은 달라질 수 있고, KISA 권고에도 악용 여부는 적혀 있지 않습니다. 수정 빌드를 가능한 한 빨리 적용하시기 바랍니다.
Q. Citrix가 관리하는 클라우드 서비스를 쓰면 조치가 필요한가요?
A. Citrix 공지는 고객이 직접 관리하는 장비에 적용되며, Citrix가 관리하는 클라우드 서비스와 어댑티브 인증은 Cloud Software Group이 업데이트한다고 안내하고 있습니다. 다만 사용 중인 서비스 형태에 따라 다를 수 있으므로 계약 및 운영 주체를 확인하시기 바랍니다.
Q. 당장 업그레이드할 수 없을 때는 어떻게 해야 하나요?
A. Citrix 공지에는 별도의 우회 방안이 적혀 있지 않습니다. 업그레이드 일정을 최대한 앞당기고, 제조사 지원 채널에 대응 방안을 문의하시기 바랍니다. 점검 시간 확보가 어렵다면 내부 책임자와 먼저 일정을 협의하는 것이 좋습니다.
[콘텐츠 출처]
KISA 인터넷 보호나라, Citrix 제품 보안 업데이트 권고, 2026-10-12
BleepingComputer, Citrix warns admins to patch new NetScaler RCE flaw immediately, 2026-10-09
