CERT-EU는 Citrix NetScaler에서 인증 없이 원격 코드 실행이 가능한 취약점 CVE-2026-88771을 조사해 공격 절차와 로그 흔적을 공개했다. Citrix는 2026년 9월 27일 패치를 배포했으며, 이 패치는 다른 취약점도 함께 해결한다.

CERT-EU가 확인한 공격은 로그 주입을 이용한다. 공격자는 HTTP 로그의 User Agent에 Base64로 인코딩한 Bash 명령을 넣고, 인증 로그에도 PPE missed too many heartbeats 문구가 포함된 요청을 반복해서 보냈다. NetScaler의 ns_monupload_err 스크립트가 관련 로그에서 해당 문자열을 찾은 뒤 값을 셸 명령에 삽입해 실행하는 방식이다. 공격자는 스크립트가 실행될 때 자신의 로그 행이 가장 최근 항목이 되도록 요청을 반복했다.

CERT-EU에 따르면, 실행된 명령은 HTTP 로그에서 INDEX 값을 추출해 Base64를 디코딩하고 Bash로 실행한다. 이후 공격자는 /etc/httpd.conf에서 php_engine을 활성화하고 인터넷에서 접근할 수 있는 경로에 웹 셸을 설치했다. 이는 시스템 침해 이후의 활동이며, CERT-EU는 해당 장비에서 PHP 웹 셸이 지속성 확보에 쓰이는 사례가 흔해 보인다고 설명했다.

NetScaler를 운영하는 방어 담당자는 다음 흔적을 확인할 수 있다.

  • 인증 로그에서 PPE missed too many heartbeats를 검색하고, HTTP 요청 로그의 INDEX 값과 대조한다.
  • HTTP 요청 로그의 User Agent 영역에서 Base64 문자열을 찾는다.
  • httpd.conf의 무결성을 확인한다.

NCSC-NL은 탐지 규칙과 헌팅 스크립트를 공개했다: citrix-2025 저장소. CERT-EU는 악용 가능한 포렌식 증거를 확보한 뒤 신속히 패치를 적용할 것을 권고했다. CERT-EU 보안 권고와 Citrix 보안 공지에서 자세한 내용을 확인할 수 있다.