✅ 보고서 제목: NetScaler 취약점 분석: CVE-2026-8452

✅ 보고서 요약

📌 취약점 개요

• 2026년 8월 26일, NetScaler ADC(구 Citrix ADC) 및 NetScaler Gateway(구 Citrix Gateway)의 Remote Code Execution 취약점인 CVE-2026-8452의 최근 In-the-wild 악용이 확인되었습니다.
• 해당 취약점은 하단에 나열된 버전의 제품에서 취약한 것으로 밝혀졌습니다.
  • NetScaler ADC 및 NetScaler Gateway 14.1 < 14.1-72.61
  • NetScaler ADC 및 NetScaler Gateway 13.1 < 13.1-63.18
  • NetScaler ADC 14.1 FIPS < 14.1-72.61 FIPS
  • NetScaler ADC 13.1 FIPS 및 NDcPP < 13.1-37.272
• 2026년 6월 30일, CVSSv4.0 8.8(High) 취약점으로 발표되었고 패치가 진행되었습니다.
• 2026년 8월 17일, 알 수 없는 공격 그룹들의 실제 악용 사례가 확인되어 빠르게 대응할 것을 권장합니다.

📌 공격 정황

• 2026년 8월 17일, NHS England National CSOC가 허니팟을 대상으로 한 악용 시도와 실제 악용 보고를 근거로 경보 등급을 High로 상향했습니다.
• 2026년 8월 26일, Canadian Centre for Cyber Security가 공개 정보를 통해 해당 취약점의 In-the-wild 악용이 확인되었다고 권고문을 갱신했습니다.
• 2026년 8월 26일, CISA가 실제 악용 증거를 근거로 CVE-2026-8452를 Known Exploited Vulnerabilities Catalog에 등재했습니다.
• 2026년 8월 27일, Previdian 및 Defused가 공격자들이 취약한 장비에 x.php와 z.php 웹 셸을 배치하고 id, echo 등의 시스템 탐색 명령을 실행한 정황을 공개했습니다.

📌 취약점 발생 원인

• 해당 취약점은 NetScaler ADC 및 NetScaler Gateway에서 SAML XML 서명 정규화 과정의 메모리 버퍼 경계 제한 미흡으로 인해 발생하는 Remote Code Execution 취약점입니다.
• 취약한 코드 경로는 Gateway 또는 AAA 가상 서버에 SAML 서비스 제공자 또는 ID 제공자 정책이 연결된 경우 활성화됩니다.
• nsppe 프로세스는 SAML 서명 검증에 앞서 ds:SignedInfo 요소를 정규화하며, 이 과정에서 공격자가 조작할 수 있는 ec:InclusiveNamespaces 요소의 PrefixList 값을 충분한 길이 검증 없이 고정 크기 버퍼에 복사합니다.
• 과도하게 긴 PrefixList가 입력되면 현재 nsb 네트워크 버퍼의 데이터 영역을 벗어나 인접한 nsb 청크의 데이터 포인터와 메모리 관리 정보가 손상됩니다.
• 손상된 포인터는 이후 호출 과정에서 사용되어 공격자가 복사 원본과 대상 주소를 제어할 수 있는 임의 메모리 쓰기가 발생할 수 있으며, 함수 포인터 변조를 통한 실행 흐름 제어로 이어질 수 있습니다.
• nsppe 프로세스가 root 권한으로 실행되므로, 해당 실행 흐름 제어는 최종적으로 root 권한 코드 실행으로 이어질 수 있습니다.

✅ 위협 탐지 권장 사항 및 조치 방안:

• 제조사에서 제공하는 보안 업데이트를 적용합니다.
  • NetScaler ADC 및 NetScaler Gateway 14.1 ≥ 14.1-72.61
  • NetScaler ADC 및 NetScaler Gateway 13.1 ≥ 13.1-63.18
  • NetScaler ADC 14.1 FIPS ≥ 14.1-72.61 FIPS
  • NetScaler ADC 13.1 FIPS 및 NDcPP ≥ 13.1-37.272
• 상기 버전은 CVE-2026-8452가 최초로 수정된 최소 빌드이므로, 운영 환경에서는 해당 빌드 이상 중 제조사가 제공하는 최신 유지보수 빌드를 적용할 것을 권장합니다.
• 지원이 종료된 NetScaler 12.1 및 13.0 계열은 지원되는 버전으로 업그레이드하고, HA 구성에서는 모든 노드에 보안 업데이트를 적용한 후 show ns version 명령으로 적용 버전을 확인합니다.
• 즉각적인 패치가 불가능할 경우 하단의 조치 방안에 따라 조치할 것을 권장합니다.
  • 외부에 노출된 Gateway 또는 AAA 가상 서버에 연결된 SAML 인증 정책을 식별하고, 운영상 가능한 경우 패치 전까지 해당 정책의 바인딩을 해제하거나 SAML 인증 기능을 비활성화합니다.
  • 방화벽 및 접근 제어 장비를 통해 Gateway 및 AAA 가상 서버에 대한 접근을 신뢰 가능한 IP 대역으로 제한하고, 불필요한 인터넷 접근을 차단합니다.
  • 상기 완화 조치를 적용할 수 없는 인터넷 노출 장비는 보안 업데이트 완료 전까지 해당 가상 서버 또는 서비스의 일시 중단을 검토합니다.