SAML 조건의 NetScaler 메모리 오버플로 — CVE-2026-88779 KEV 등재 (10월 7일 기한)
Citrix는 NetScaler ADC / Gateway의 메모리 버퍼 경계 제한 결함(CVE-2026-88779, CVSS v4.0 8.7, CWE-119)을 공개했습니다. Citrix는 완화되지 않은 배포에 대한 표적 공격을 관찰했으며, 이는 서비스 거부로 이어질 수 있다고 밝혔습니다. CISA의 KEV 등재는 이 취약점의 악용을 나타내며, 짧은 설명은 이 결함이 서비스 거부를 허용할 수 있다고 합니다. 어느 출처도 영향을 받은 배포가 실제로 중단되었다고 확인하지는 않습니다. CISA는 10월 4일 KEV에 추가했고, 연방 기관 기한은 10월 7일입니다. 9월 27일에 추가된 CVE-2026-88771 및 CVE-2026-88772와 함께, 이는 2주 안에 추가된 세 번째 NetScaler KEV 등재이며 이 제품의 역대 세 번째 등재는 아닙니다(카탈로그에는 CVE-2023-4966을 포함한 이전 항목이 있습니다). Global Deny List 시그니처(v24 이상)가 당장의 완화이고, 수정은 14.1-73.41 / 13.1-64.28 이상입니다.
이 글은 기계 번역입니다.
10월 3일(태평양 표준시), Citrix는 보안 공지 CTX697174 및 커뮤니티 해설 자료를 통해 NetScaler ADC(구 Citrix ADC)와 NetScaler Gateway(구 Citrix Gateway)의 CVE-2026-88779를 공개했습니다. 이 취약점은 CWE-119(메모리 버퍼 경계 내 작업 제한 부적절)로 분류되며, CVSS v4.0 기본 점수는 8.7(CNA: NetScaler)입니다. 해당 문제는 Gateway 또는 AAA 기능과 함께 SAML 인증을 사용하는 고객 관리형 NetScaler 배포 환경에 영향을 미칩니다. 대상 버전은 14.1-73.41 이전의 ADC 및 Gateway 14.1, 13.1-64.28 이전의 13.1, 14.1-73.41 FIPS 이전의 ADC FIPS, 그리고 13.1-37.282 이전의 ADC FIPS 및 NDcPP입니다(Citrix CTX697174; NVD 2026년 10월 4일 게시). Citrix는 완화되지 않은 배포에 대한 표적 공격을 관찰했으며, 이는 서비스 거부로 이어질 수 있다고 밝혔습니다. CISA KEV의 짧은 설명은 이 결함이 서비스 거부를 허용할 수 있다고 하고, 등재는 이 취약점의 악용을 나타냅니다. 어느 출처도 영향을 받은 배포가 실제로 중단되었다고 확인하지는 않습니다. Citrix의 분석은 고객 데이터 무결성에 대한 영향을 확인하지 않았습니다.
CISA는 10월 4일 해당 취약점을 KEV 카탈로그에 추가했으며, 연방 민간 기관에는 10월 7일까지 대응할 것을 요구했습니다(BOD 26-04, 등재 후 3일). KEV 노트는 BOD 26-04 및 CISA의 포렌식 트리아지 요건에 따라 벤더가 지시한 완화 조치를 적용할 것을 요구하며, 포렌식 트리아지는 'Yes', 알려진 랜섬웨어 캠페인 사용 여부는 'Unknown'으로 표시되어 있습니다(CISA KEV catalog 2026.10.04, 총 1,734건). Citrix는 사전 조건에 대한 구성 자체 점검을 제안합니다. 배포 환경이 SAML SP로 구성(add authentication samlAction)되었거나 SAML IdP로 구성(add authentication samlIdPProfile)되었다면 사전 조건을 충족하는 것입니다. Citrix가 제공하는 Global Deny List 시그니처(v24 이상)는 14.1-73.37 이상 14.1-73.41 이전, 13.1-64.23 이상 13.1-64.28 이전 버전에서 사용 가능하며, NetScaler Console의 가상 패칭이 활성화되어 있고 show appfw signatures 명령을 통해 Encrypted Version이 표시되어야 합니다.
분석(보도와 분리): 9월 27일에 추가된 두 KEV 등재는 SAML이 전제가 아닙니다. CTX697096은 CVE-2026-88771(미인증 공격자가 임의의 명령을 실행할 수 있는 입력 검증 부적절)이 기본 구성을 포함한 모든 NetScaler ADC 및 NetScaler Gateway 배포에 영향을 주며, 추가 기능이 필요하지 않다고 합니다. CTX697096은 CVE-2026-88772(원격 코드 실행 또는 서비스 거부로 이어질 수 있는 메모리 오버플로)는 DTLS가 필요하며, VPN vServer에서는 기본적으로 활성화되어 있다고 합니다. 10월 4일에 추가된 CVE-2026-88779와 합하면, 2주 안에 추가된 NetScaler KEV는 세 건입니다. 카탈로그에는 2023년 10월 18일에 추가된 CVE-2023-4966을 포함한 이전 NetScaler 항목이 이미 있으므로, 이 제품의 역대 세 번째 등재는 아닙니다. Citrix는 이 세 건의 근본 원인이 같은지 밝히지 않았습니다. Citrix가 관리하는 클라우드 서비스는 고객 관리 배포를 위한 공지의 범위 밖입니다.
방어 측에 대한 시사점: (1) 환경에 SAML SP 또는 IdP 구성이 있다면, 즉시 CTX697174의 대상 버전을 확인하고 14.1은 14.1-73.41 이상, 13.1은 13.1-64.28 이상, FIPS / NDcPP는 14.1-73.41 FIPS / 13.1-37.282 이상으로 업그레이드해야 합니다. CTX697096(CVE-2026-88771부터 CVE-2026-88778 공지)으로 이미 업그레이드한 환경이라도 사전 조건을 충족한다면 추가 업그레이드가 필요합니다. (2) 업그레이드까지의 임시 완화로 Global Deny List 시그니처(v24 이상)를 적용하고, stat denylist global AAA_REQUEST로 카운터를 확인하십시오. Citrix의 확인 절차는 0보다 큰 값이 규칙이 동작하고 있음을 나타낸다고 합니다. (3) KEV 노트는 forensicTriage를 Yes로 두고 BOD 26-04에 따른 포렌식 분류를 요구합니다. 이 취약점에 대해 CTX697174가 제시하는 전제는 SAML SP(add authentication samlAction) 또는 SAML IdP(add authentication samlIdPProfile)입니다. CVE-2026-88771과 CVE-2026-88772의 전제는 CTX697096에 따로 적혀 있습니다.