CISA KEV 카탈로그 업데이트, 악용 중인 취약점 2건과 3일 기한 추가

CISA는 10월 13일 실제로 악용 중인 취약점 2건을 카탈로그에 추가하며 연방 기관에 단 3일의 대응 시간을 부여했다. 이번 CISA KEV 카탈로그 업데이트는 Microsoft Windows의 CVE-2026-96951과 Ivanti Connect Secure의 CVE-2026-104935를 다룬다. 두 취약점 모두 높은 심각도 점수를 받았지만, 기술적 공격 경로와 운영상 위험은 크게 다르다.

이 짧은 기한은 이것이 단순한 카탈로그 변경 이상의 사안임을 보여주는 첫 신호다. CISA의 Known Exploited Vulnerabilities 카탈로그, 즉 KEV는 실제 환경에서 악용된 증거가 있는 취약점을 추적한다. 이 카탈로그의 항목은 이론적 심각도만이 아니라 관측된 공격자 행위를 반영한다.

더 큰 우려는 Ivanti 사례에서 비롯된다. 조사관들은 공격자들이 완전히 패치된 VPN 어플라이언스를 상대로 여러 제로데이 취약점을 연계해 root 권한을 획득하고 증거를 삭제한 사실을 발견했다. Windows 취약점은 더 광범위한 제품군에 노출돼 있으며, Ivanti 침해 사례는 패치를 설치했다고 해서 시스템의 침해 흔적이 자동으로 사라지는 것은 아니라는 점을 보여준다.

CISA KEV 카탈로그 업데이트에서 바뀐 점

공격자들이 이미 악용하고 있었기 때문에 CISA는 새로 공개된 취약점 2건을 즉각적인 조치 우선순위로 지정했다.

CISA의 KEV 추가 항목은 CVE-2026-96951을 Microsoft Windows 명령어 주입 취약점으로 식별한다. 두 번째 항목인 CVE-2026-104935는 Ivanti Connect Secure에 영향을 미치는 인증 우회 취약점이다.

CISA는 2026년 10월 13일 두 취약점을 모두 추가했다. 연방 민간 행정부 소속 기관에는 10월 16일까지 조치하라는 기한이 주어졌으며, 카탈로그 등록부터 필수 조치까지 달력 기준 3일밖에 남지 않았다.

이 시점은 중요하다. 취약점 관리 프로그램은 흔히 심각도 등급, 자산 가치, 노출 수준, 유지보수 창, 가용 인력을 기준으로 업무 우선순위를 정한다. 3일이라는 기한은 이 모든 과정을 긴급 대응 주기로 압축한다.

CISA의 조치 요건은 Prioritizing Security Updates Based on Risk라는 제목의 Binding Operational Directive 26-04를 참조한다. 이 지침은 연방 민간 기관에 적용되지만, 카탈로그는 민간 조직에도 공개 우선순위 결정 자료로 활용된다.

카탈로그는 영향을 받는 모든 시스템이 공격받았다고 주장하지는 않는다. 다만 CISA가 실제 환경 어딘가에서 성공적인 악용이 발생했다는 증거를 인정했음을 의미한다. 조직은 여전히 영향을 받는 제품을 보유하고 있는지, 해당 자산이 노출됐는지, 침해가 발생했는지를 판단해야 한다.

첫 번째 취약점인 CVE-2026-96951은 Windows Shell에 영향을 미친다. 명령어 주입은 소프트웨어가 특수 명령 요소를 적절히 무력화하지 못해 공격자가 제어하는 입력이 시스템의 실행 내용을 변경할 수 있을 때 발생한다.

Microsoft의 CVE 기록은 이 취약점에 높은 심각도로 분류되는 CVSS 3.1 기본 점수 8.8을 부여했다. 공격 벡터는 네트워크를 통한 접근, 낮은 공격 복잡도, 불필요한 권한, 필요한 사용자 상호작용을 설명한다. 악용에 성공하면 기밀성, 무결성, 가용성에 중대한 영향을 줄 수 있다.

공개 기록에 나열된 영향 제품에는 여러 Windows 10, Windows 11, Windows Server 릴리스가 포함된다. 제품 데이터에는 Outlook.com도 포함돼 있다. 관리자는 지원되는 빌드와 수정 사항을 확인하는 권위 있는 안내로 Microsoft의 Windows 보안 업데이트를 사용해야 한다.

두 번째 취약점인 CVE-2026-104935는 일반적으로 네트워크 경계에 배치되는 기업용 원격 액세스 게이트웨이 Ivanti Connect Secure에 영향을 미친다. 이 인증 우회 취약점은 원격의 인증되지 않은 공격자가 영향을 받는 어플라이언스에서 임의의 명령을 실행할 수 있게 한다.

Ivanti는 이 취약점에 역시 높은 심각도인 CVSS 3.1 점수 8.6을 부여했다. Windows 취약점과 달리 이 공격 벡터는 사용자 상호작용을 요구하지 않는다. 취약하고 접근 가능한 어플라이언스는 악성 요청을 직접 수신할 수 있다.

Ivanti 취약점은 지원되는 브랜치에서 지정된 수정 버전 이전 릴리스에 영향을 미친다. Ivanti는 Connect Secure 22.7R2.14 및 이전 버전에는 이 특정 취약점이 존재하지 않는다고 밝혔다. 이 예외를 오래된 소프트웨어 전반에 대한 보안 보증으로 해석해서는 안 된다.

따라서 이번 CISA KEV 카탈로그 업데이트는 서로 다른 두 대응 경로를 만든다. Windows 담당 팀은 잠재적으로 대규모인 시스템군 전체에 운영체제 업데이트를 배포해야 한다. 네트워크 및 사고 대응 팀은 취약한 Ivanti 게이트웨이를 초기 접근 지점일 가능성이 있는 대상으로 다뤄야 한다.

공통된 사실은 실제 악용이 진행 중이라는 점이다. 두 제품에서 패치 이후 필요한 증거가 다르므로, 대응 세부 사항을 “즉시 패치”라는 일반적인 지시 하나로 축소할 수는 없다.

3일 기한이 패치 결정을 바꾸는 방식

핵심 긴장은 더 이상 심각도와 편의성의 대립이 아니다. 신속한 조치와 기존 침해를 간과할 위험 사이의 문제다.

KEV 카탈로그는 조직이 공격자가 실제로 사용하는 취약점과 훨씬 방대한 공개 CVE 집합을 구별하도록 돕기 위해 존재한다. 높은 CVSS 점수는 정의된 가정하의 기술적 심각도를 설명한다. KEV 등재는 악용이 가상 시나리오를 넘어섰다는 증거를 더한다.

이 구분은 새로 공개된 취약점에서 특히 중요하다. Exploit Prediction Scoring System 데이터와 광범위한 텔레메트리는 성숙하는 데 시간이 걸릴 수 있다. KEV 항목은 방어자가 무엇을 먼저 처리해야 할지 결정해야 하는 상황에서 더 강력한 단기 신호를 제공한다.

연방 민간 기관의 경우 10월 16일 기한이 이 신호를 운영상 요구 사항으로 바꾼다. 팀은 영향을 받는 자산을 식별하고, 공급업체 완화 조치를 적용하며, 관련 포렌식 분류 요건을 따르거나 적절한 완화 조치를 사용할 수 없을 경우 사용을 중단해야 한다.

민간 조직에는 이 지침에 따른 법적 의무가 적용되지 않는다. 그러나 기본적인 노출 위험은 동일하다. 같은 Windows 시스템과 원격 액세스 게이트웨이가 기업, 의료, 교육, 핵심 인프라 환경에 존재한다.

이 기한은 월간 또는 분기별 유지보수 창을 중심으로 설계된 패치 프로그램에도 도전 과제를 안긴다. 일반적인 승인 절차에는 실험실 검증, 애플리케이션 소유자 검토, 단계적 배포, 롤백 준비, 비즈니스 승인 등이 포함될 수 있다. 복잡한 시스템군에서 이러한 작업을 수행하기에 3일은 거의 충분하지 않다.

그렇다고 테스트를 생략해야 한다는 뜻은 아니다. 특히 ID 연계 인프라나 원격 액세스 어플라이언스에서는 업데이트 실패가 운영 환경을 중단시킬 수 있다. 실질적인 대응은 의사결정 사슬을 단축하고, 고위험 자산을 격리하며, 가장 대표적인 구성부터 먼저 테스트하는 것이다.

자산 인벤토리는 첫 번째 압박 지점이 된다. 운영체제 버전, 어플라이언스 빌드, 인터넷 노출, 소유자, 비즈니스 의존성에 대한 신뢰할 수 있는 기록이 없다면 팀은 긴급 기한을 맞출 수 없다.

Windows 노출은 여러 세대의 엔드포인트와 서버에 걸쳐 있을 수 있다. 공개 CVE 기록에는 Server Core 설치를 포함한 Windows 10, Windows 11, Windows Server 제품이 나열돼 있다. 관리자는 제품명만 믿는 대신 빌드 수준의 확인이 필요하다.

Ivanti는 다른 인벤토리 문제를 제기한다. Connect Secure 어플라이언스는 원격 사용자와 내부 리소스 사이의 접근을 중개하기 때문에 흔히 네트워크 에지에 위치한다. 이 배치는 접근하기 쉽게 만들며, 침해 후에는 높은 가치를 지닌다.

에지 어플라이언스는 공격자가 원하는 맥락 정보도 보유한다. 자격 증명을 처리하고, 디렉터리 서비스와 통신하며, 내부 목적지를 관찰하고, 정찰을 위한 신뢰할 수 있는 위치를 제공할 수 있다. 이러한 기능은 인증 우회 성공의 영향을 증폭시킨다.

따라서 필요한 대응은 업데이트 배포보다 광범위하다. 방어 조직은 신속하게 네 가지 질문에 답해야 한다. 제품이 존재하는가, 설치된 버전이 영향을 받는가, 악용 기간 중 노출됐는가, 이용 가능한 증거가 침해를 시사하는가?

처음 두 질문에만 답하는 팀은 오해를 부르는 완료감을 만들 수 있다. 패치는 알려진 진입 경로를 막는다. 하지만 이미 탈취된 자격 증명을 제거하거나, 측면 이동을 되돌리거나, 공격자가 삭제한 로그를 복구하지는 못한다.

이번 CISA KEV 카탈로그 업데이트는 보안 책임자들이 취약점 관리와 사고 대응을 연결하도록 압박한다. 이 기능들을 분리해 유지하는 조직은 티켓이 팀 사이를 이동하는 동안 중요한 시간을 잃을 수 있다.

성숙한 대응 체계는 패치, 노출 검토, 텔레메트리 보존, 위협 헌팅, 경영진 커뮤니케이션을 조율할 한 명의 책임자를 지정한다. 그 책임자가 모든 업무를 직접 수행할 필요는 없지만, 누군가는 완전한 의사결정 기록을 유지해야 한다.

그 기록은 확인된 사실과 가정을 구분해야 한다. CISA는 두 취약점 모두의 악용을 확인한다. 그러나 모든 노출 인스턴스가 표적이 됐다는 사실, 모든 공격자의 신원, 캠페인의 전체 규모를 확정하지는 않는다.

이러한 공백은 긴급성이 과장을 부추길 수 있기 때문에 중요하다. “실제 악용 중”은 “대규모 악용”과 동의어가 아니며, KEV 등재가 랜섬웨어 사용을 증명하는 것도 아니다. 카탈로그 항목은 알려진 랜섬웨어 캠페인 사용 여부를 알 수 없음으로 표시한다.

두 취약점은 서로 다른 공격 경로를 만든다

Windows 취약점은 패치 범위를 넓히는 반면, Ivanti 취약점은 권한이 높은 네트워크 게이트웨이에 위험을 집중시킨다.

CVE-2026-96951의 공식 명칭은 Windows Shell Security Feature Bypass Vulnerability다. CISA는 이를 근본적인 CWE-77 취약점을 반영하는 Microsoft Windows 명령어 주입 취약점으로 설명한다.

공개된 공격 벡터는 원격 도달 가능성, 낮은 공격 복잡도, 불필요한 권한, 필요한 사용자 상호작용을 나타낸다. 이러한 특성은 악용이 공격자 제공 콘텐츠와 관련해 대상이 어떤 행동을 취하는 데 의존함을 시사한다.

공개된 기술적 세부 정보는 여전히 제한적이다. 방어자는 취약점 분류만으로 정확한 전달 메커니즘을 추정해서는 안 된다. 공식 기록은 영향받는 구성 요소와 영향을 확립하지만, 관측된 모든 공격에 대한 완전한 공개 플레이북을 제공하지는 않는다.

네트워크 탐지 문서는 하나의 유용한 단서를 제공한다. Cisco의 Snort 규칙 설명에 따르면, 이 규칙은 Windows Terminal을 참조하며 웹 출처를 제대로 표시하지 않을 수 있는 Windows 설정 파일을 탐지한다. 이러한 행위는 사용자 상호작용 후 임의 명령 실행으로 이어질 수 있다.

탐지 로직은 Microsoft 지침을 대체하지 않는다. 네트워크 시그니처는 암호화된 트래픽, 대체 전달 경로, 수정된 페이로드 또는 검사 지점 밖의 활동을 놓칠 수 있다. 이는 패치 검증과 엔드포인트 텔레메트리를 보완해야 한다.

Windows 대응은 빌드 수준의 인벤토리부터 시작해야 한다. 관리자는 설치된 각 버전을 Microsoft 권고문의 수정 빌드와 비교한 뒤, 업데이트가 성공적으로 설치됐는지 확인해야 한다.

이 과정에는 일반 소비자 업데이트 채널을 따르지 않는 시스템도 포함돼야 한다. Windows Server Update Services, Microsoft Intune, 타사 도구, 이미지 또는 오프라인 절차로 관리되는 서버는 서로 다른 배포 시점을 보일 수 있다.

운영상 의존성으로 업데이트가 지연되는 경우가 많으므로 레거시 Windows 버전은 특별한 주의가 필요하다. 이전 애플리케이션을 지원하는 취약한 서버는 주된 엔드포인트 시스템군이 규정을 충족한 뒤에도 노출된 상태로 남을 수 있다.

즉시 업데이트할 수 없는 경우, 방어자는 Microsoft가 문서화한 완화 조치를 적용하고 노출을 줄여야 합니다. 또한 의심스러운 자식 프로세스, 비정상적인 명령 실행, 공격자가 전달한 설정 파일과 관련된 아티팩트를 모니터링해야 합니다.

CVE-2026-104935는 보다 직접적인 네트워크 위협입니다. 해당 CVE 기록은 25.1.3.0 이전 Ivanti Connect Secure에서 스푸핑으로 인증을 우회할 수 있다고 설명합니다.

원격 공격자는 유효한 계정이나 사용자 상호작용이 필요하지 않습니다. 이 취약점은 어플라이언스에서 임의 명령 실행을 허용하며, 인터넷에서 내부 네트워크가 신뢰하는 소프트웨어로 이어지는 직접적인 경로를 만듭니다.

Ivanti의 영향 버전 정보는 주의 깊게 읽어야 합니다. 이 기록은 25.1.3.0, 25.1.3.1, 22.8R2.5를 포함한 여러 분기에서 수정된 릴리스를 식별합니다. 25.1.1.2 역시 공급업체 지침과 관련된 공개 보도에서 수정된 빌드로 언급됩니다.

관리자는 현재 Ivanti 보안 권고를 기준으로 정확한 분기를 확인해야 합니다. 공급업체의 지침을 이용할 수 있을 때는 2차 요약 자료를 근거로 대상 버전을 선택해서는 안 됩니다.

관측된 공격 체인 속에 배치하면 이 취약점의 중요성이 더욱 분명해집니다. 보안업체 Volexity는 위협 행위자가 Connect Secure를 상대로 이전에 알려지지 않았던 세 가지 취약점을 악용한 사실을 발견했습니다.

첫 번째 취약점은 인증되지 않은 요청이 보호된 CGI 핸들러에 도달하도록 했습니다. CGI 핸들러는 웹 요청을 처리하고 시스템 기능을 호출할 수 있는 서버 측 소프트웨어입니다.

두 번째 취약점은 짧은 시간 동안 파일 쓰기와 실행이 가능한 기회를 만들었습니다. 공격자는 ZIP 확장자로 위장한 Perl 스크립트를 업로드한 뒤, 어플라이언스의 검증 및 삭제 프로세스와 경쟁 상태를 유도했습니다.

별도의 권한 상승 취약점은 해당 코드 실행 권한을 root까지 높였습니다. Root는 어플라이언스 기반 Linux 환경에서 가장 높은 관리 권한입니다.

이 구분은 중요합니다. CVE-2026-104935는 체인 중 인증 우회와 원격 코드 실행 부분을 추적합니다. Volexity는 공개 시점에 Ivanti가 별도의 권한 상승 취약점에 대한 수정 사항을 아직 준비 중이었다고 밝혔습니다.

따라서 관측된 체인은 하나의 고립된 버그가 미치는 영향을 넘어섰습니다. 접근 제어 실패, 임시 파일 실행, 권한 있는 서비스 동작을 결합해 완전히 패치된 어플라이언스의 전체 제어권을 획득했습니다.

이것이 이 사안의 핵심적인 균형점입니다. 조직은 알려진 수정 사항을 신속히 적용해야 하지만, 그 수정만으로 공격자의 역량을 완전히 설명할 수 있다고 여겨서는 안 됩니다.

Ivanti 사례가 보여주는 패치와 포렌식 무결성 확인의 차이

공격자가 업데이트 이전에 활동했고 로컬 증거를 지웠다면, 패치된 어플라이언스도 여전히 해결되지 않은 사고를 의미할 수 있습니다.

Volexity는 10월 5일 의심스러운 활동에 대한 조사를 시작했습니다. 이 회사는 당시 완전히 패치된 Connect Secure 22.8R2.4를 상대로 10월 3일부터 악용이 이뤄진 사실을 발견했습니다.

상세한 익스플로잇 체인 분석은 이 활동을 UTA0576으로 추적되는, 이전에는 문서화되지 않았던 위협 행위자에게 귀속했습니다. 이 레이블은 확인된 현실 세계의 신원이 아니라 관측된 행위의 클러스터를 식별합니다.

위협 행위자는 정찰, 자격 증명 탈취, 데이터 수집, 그리고 가능한 측면 이동 준비를 위해 어플라이언스를 사용했습니다. 조사관들은 디렉터리 자격 증명과 시크릿을 겨냥한 활동을 발견했습니다.

공격자는 LDAP에 사용되는 도메인 자격 증명을 포함해 VPN 어플라이언스에 저장된 자격 증명을 추출했습니다. LDAP, 즉 Lightweight Directory Access Protocol은 시스템이 디렉터리 정보를 조회하고 관리할 수 있게 합니다.

조사관들은 Local Administrator Password Solution 자격 증명과 BitLocker 복구 키를 획득하려는 시도도 발견했습니다. 이러한 시크릿은 원래의 어플라이언스를 넘어 엔드포인트나 암호화된 시스템에 대한 접근을 제공할 수 있습니다.

행위자는 인증 로그를 검색하고, 어플라이언스 구성 데이터를 수집했으며, 내부 DNS 정찰을 수행했습니다. 또한 많은 계정에 소수의 비밀번호를 시험하는 패스워드 스프레이도 사용했습니다.

이 활동은 엣지 장비 침해가 왜 전사적 사고로 번질 수 있는지 보여줍니다. 어플라이언스는 단순히 취약한 단일 장비가 아니었습니다. 자격 증명, 네트워크 가시성, 더 깊은 접근을 위한 출발점을 제공했습니다.

Volexity는 공격자의 행위가 측면 이동과 더 광범위한 네트워크 침해를 준비한 것이라고 높은 신뢰도로 평가했습니다. 조사관들이 행위자의 궁극적 목적을 파악하기 전에 작전은 중단됐습니다.

행위자는 안티포렌식 기법도 사용했습니다. 일부 Ivanti 디버그 로그와 Linux 감사 로그를 수정하고, 임시 파일을 제거했으며, root 권한을 획득한 뒤 변경한 메모리 내 상태를 복원했습니다.

지속적인 웹 셸은 필요하지 않았습니다. 공격자는 익스플로잇 채널을 반복적으로 사용해 HTTPS를 통해 명령을 전송하고 결과를 수신함으로써, 디스크에 일반적인 백도어를 남길 필요를 줄였습니다.

이 기법은 탐지를 복잡하게 만듭니다. 많은 사고 대응 절차는 디스크 이미지에서 악성코드, 수정된 바이너리, 의심스러운 시작 항목 또는 웹 셸을 찾는 것에서 시작합니다. 주로 메모리에 상주하는 체인은 지속성이 낮은 증거만 남길 수 있습니다.

Ivanti는 디스크에서 예상치 못한 변경 사항을 찾는 Integrity Checker Tool을 제공합니다. Volexity는 관측된 체인이 메모리를 변경하고 관련 구성 데이터를 복원해 해당 도구의 탐지를 피할 수 있었다고 밝혔습니다.

그렇다고 Integrity Checker가 쓸모없다는 뜻은 아닙니다. 깨끗한 결과만으로 이 체인에 의해 어플라이언스가 한 번도 침해되지 않았다는 점을 독립적으로 증명할 수 없다는 의미입니다.

영향을 받는 인터넷 노출 어플라이언스를 운영하는 조직에는 더 강력한 의사결정 프로세스가 필요합니다. 실용적인 경우 재이미징 전에 증거를 보존하고, 네트워크 텔레메트리를 조사하며, 인증 활동을 검토하고, 게이트웨이에서 시작된 측면 이동을 찾아야 합니다.

공격자의 코드와 변경 사항은 어플라이언스가 실행 중인 동안에만 존재할 수 있으므로 메모리 증거는 특히 가치가 있을 수 있습니다. 장비를 재부팅하거나 교체하면 이러한 휘발성 증거가 사라질 수 있습니다.

운영상의 긴급성은 증거 보존과 충돌할 수 있습니다. 보안팀은 즉시 연결을 끊고 재구축하려 할 수 있지만, 사고 대응 담당자는 메모리, 로그, 주변 텔레메트리가 필요합니다.

올바른 균형은 현재의 위험 수준에 달려 있습니다. 진행 중인 침해가 의심되면 격리가 우선입니다. 팀은 공격자의 접근을 불필요하게 연장하지 않으면서도 시스템 상태를 기록하고 가능한 최선의 증거를 수집해야 합니다.

자격 증명 대응도 마찬가지로 중요합니다. 영향을 받은 게이트웨이가 디렉터리 자격 증명을 저장하거나 처리했다면 관리자는 해당 계정을 식별하고 관련 시크릿을 교체해야 합니다. 이미 수집된 자격 증명을 패치가 보호해 준다고 가정해서는 안 됩니다.

BitLocker 복구 데이터, 로컬 관리자 비밀번호, 서비스 계정 자격 증명, VPN 구성 시크릿은 별도로 검토할 필요가 있습니다. 교체 우선순위는 어플라이언스가 접근할 수 있었던 시크릿과 텔레메트리가 보여주는 내용을 반영해야 합니다.

위험은 신뢰된 연결로도 확장됩니다. 침해된 게이트웨이는 악성 내부 트래픽이 합법적인 인프라에서 발생한 것처럼 보이게 할 수 있습니다. 탐지팀은 어플라이언스로 향하는 인바운드 요청뿐 아니라 어플라이언스에서 발생한 활동도 검토해야 합니다.

Volexity는 공개 welcome CGI 경로와 관련해 비정상적으로 많은 요청량을 모니터링할 것을 권고했습니다. 또한 표시되는 URL과 X-DSCGI-PATH 헤더 간의 불일치도 강조했습니다.

이러한 지표는 유용하지만 불완전합니다. 기술적 세부 내용이 공개되면 공격자는 경로, 요청 패턴, 인프라 또는 침해 후 도구를 조정하는 경우가 많습니다. 방어자는 구체적 지표와 행위 기반 분석을 결합해야 합니다.

회의적인 관점은 간단합니다. 공개 조사는 피해자 한 곳과 관측된 클러스터 하나를 문서화합니다. 메커니즘에 대한 강력한 증거를 제공하지만, 캠페인의 전체 규모를 드러내지는 않습니다.

Ivanti는 공개 시점에 제한된 수의 고객에게 영향을 미친 악용 사실을 알고 있었다고 밝혔습니다. 이 진술은 침해된 시스템 수의 확정적인 상한이 아니라 공급업체의 현재 가시성으로 해석해야 합니다.

로깅이 불완전하거나 공격자가 증거를 지우는 경우에는 알려지지 않은 노출이 특히 중요합니다. 경보가 없다는 사실만으로 악용이 없었다고 결론 내릴 수는 없습니다.

공개 기록이 여전히 보여주지 않는 것

두 KEV 항목은 악용을 확인하지만, 공격자 귀속, 규모, 전달 방식, 완전한 피해 범위는 아직 해결되지 않은 상태입니다.

CISA는 CVE-2026-96951을 악용한 공격자를 공개적으로 식별하지 않았습니다. 이용 가능한 Windows 기록도 관측된 캠페인에 대한 완전한 설명을 제공하지 않습니다.

Microsoft의 벡터는 사용자 상호작용을 나타내며, 이는 Windows 취약점을 인증 없이 이뤄지는 Ivanti 게이트웨이 공격과 구분합니다. 그러나 방어자들은 여전히 유인책, 전달 채널, 침해 후 단계에 대한 완전한 공개 설명을 확보하지 못했습니다.

이 공백은 캠페인별 탐지를 제한합니다. 보안팀은 업데이트를 배포하고 관련 Windows 동작을 모니터링할 수 있지만, 추정한 하나의 전달 메커니즘을 확인된 사실로 제시해서는 안 됩니다.

Ivanti 사례는 Volexity가 메모리, 디스크 증거, 코어 덤프를 바탕으로 체인을 재구성했기 때문에 기술적 가시성이 훨씬 높습니다. 그럼에도 중요한 질문은 여전히 남아 있습니다.

Volexity는 관측된 표적을 근거로 UTA0576이 금전 범죄 동기를 가졌다고 낮은 신뢰도로 평가했습니다. 낮은 신뢰도의 귀속은 이용 가능한 증거가 해당 평가를 약하게만 뒷받침한다는 의미입니다.

이 회사는 또한 맞춤형 스크립트, 하드코딩된 자격 증명, 반복적인 명령 채널 사용, 체인의 복잡성을 근거로 행위자가 익스플로잇 개발 또는 침해 후 활동 중 대규모 언어 모델을 사용했을 가능성이 있다고 중간 신뢰도로 평가했습니다.

이 평가는 AI 사용의 직접적인 증거가 아닙니다. 유사한 운영 패턴은 사람의 개발, 기존의 비공개 도구 또는 반복적인 수작업에서도 나타날 수 있습니다. 추가 증거 없이 이 주장을 사고의 헤드라인으로 삼아서는 안 됩니다.

별도의 불확실성은 권한 상승 구성 요소와 관련됩니다. Ivanti는 CVE-2026-104935로 추적되는 인증 우회 및 원격 코드 실행 경로를 패치했습니다. Volexity는 추가 권한 상승 수정 사항이 나중에 제공될 것이라고 밝혔습니다.

남은 취약점이 패치된 인증 우회를 계속 악용할 수 있다는 뜻은 아닙니다. 다만 방어자는 10월 13일 업데이트를 최종 보안 이벤트로 여기지 말고 후속 공급업체 릴리스를 따라야 한다는 의미입니다.

버전 상태에도 정확성이 필요합니다. CVE 기록에 따르면 22.7R2.14 및 이전 버전에는 CVE-2026-104935가 존재하지 않습니다. 이전 분기에는 여전히 관련 없는 취약점이 포함될 수 있고, 현재 지원이 제공되지 않거나 권장 배포 경로 밖에 있을 수 있습니다.

조직은 임시 완화 조치로 이전의 “영향 없음” 릴리스로 다운그레이드해서는 안 됩니다. 지원되는 업그레이드 지침을 따르고 공급업체의 최신 입장을 확인해야 합니다.

랜섬웨어 분야 역시 혼란의 또 다른 원인이 될 수 있습니다. CISA는 두 항목 모두에 대해 알려진 랜섬웨어 캠페인 사용 여부를 알 수 없음으로 표시합니다. 이 값은 카탈로그가 랜섬웨어 연관성을 확립하지 못했다는 뜻이지, 랜섬웨어 운영자가 이러한 취약점을 무시할 것이라는 의미는 아닙니다.

공격자는 패치가 제공된 뒤에도 공개된 엣지 장비 취약점을 자주 재사용합니다. 공개 기술 분석은 방어 작업과 공격 복제를 동시에 가속할 수 있습니다.

개념 증명 코드의 공개 여부도 불완전한 척도입니다. CISA가 제시한 활성 악용 증거는 일반 저장소에 신뢰할 수 있는 공개 익스플로잇이 나타나지 않더라도 이미 현실 세계의 위험을 입증합니다.

경영진 커뮤니케이션에서 팀은 네 가지 증거 수준을 구분해야 합니다. 취약점은 존재하고, 악용은 발생했으며, 하나의 Ivanti 공격 체인은 기술적으로 문서화됐고, 더 광범위한 캠페인 규모는 여전히 불확실합니다.

그러한 프레이밍은 선정주의 없이 긴급성을 뒷받침한다. 또한 리더들이 영향을 받은 모든 시스템이 침해됐다고 가정하거나, 반대로 공개적으로 보고된 피해 사례가 제한적이라는 이유만으로 노출이 안전하다고 판단하는 일을 막는다.

CISA KEV 카탈로그 업데이트의 가장 큰 가치는 의사결정 신호로서의 역할이다. 이는 검증된 악용이 이론적 위험을 넘어선 지점을 방어자에게 알려준다. 다만 자산별 조사를 대체하지는 않는다.

방어자가 다음으로 주시해야 할 세 가지 신호

다음 단계는 패치 적용 범위, 포렌식 조사 결과, 그리고 Ivanti 체인의 나머지 부분을 다루는 벤더 업데이트에 달려 있다.

첫 번째 신호는 10월 16일 마감일까지 검증된 조치가 완료되는지 여부다. 연방 기관은 영향을 받은 자산이 BOD 26-04에 따라 요구된 조치를 받았음을 입증해야 한다.

민간 조직도 운영상 제약이 다르더라도 같은 날짜를 긴급성의 기준점으로 활용해야 한다. 유의미한 지표는 생성된 업데이트 티켓 수가 아니다. 영향을 받았고 접근 가능한 시스템 중 패치, 완화 조치, 격리 또는 제거가 완료된 비율이다.

신속한 패치율은 공격자가 이러한 경로를 재사용할 수 있는 기간을 줄일 것이다. 공개 이후에도 노출이 지속된다면, KEV 기한이 실제 환경 전반에서 여전히 실행하기 어렵다는 판단이 더욱 설득력을 얻게 된다.

두 번째 신호는 추가 포렌식 조사 결과의 등장이다. 조사관들은 더 많은 Ivanti 피해자, 새로운 침해 지표, 대체 요청 경로 또는 탈취된 자격 증명과 관련된 후속 활동을 식별할 수 있다.

더 광범위한 표적화의 증거가 나오면, 영향을 받은 어플라이언스에는 취약점 완화뿐 아니라 사고 대응 수준의 조치가 필요하다는 판단이 강화될 것이다. 특히 텔레메트리가 취약한 환경에서는 새로운 공개 사례가 없다고 해서 추가 침해가 없었다는 의미는 아니다.

Windows 캠페인 세부 정보도 이 신호 아래에서 살펴봐야 한다. 새로운 보고는 공격자가 악성 콘텐츠를 어떻게 전달하는지, 어떤 부문을 표적으로 삼는지, 보안 우회 이후 어떤 명령이 실행되는지를 명확히 할 수 있다.

조직은 이러한 세부 정보가 드러나는 대로 탐지 규칙을 업데이트해야 한다. 또한 새로운 지표가 제공될 때 과거로 거슬러 검색할 수 있도록 충분한 엔드포인트 및 네트워크 텔레메트리를 보존해야 한다.

세 번째 신호는 별도의 권한 상승 취약점에 대한 Ivanti의 후속 릴리스다. 이 업데이트는 벤더가 지원되는 브랜치 전반에서 공개적으로 문서화된 전체 체인이 언제 해결됐다고 판단하는지 보여줄 것이다.

관리자는 첫 번째 수정 빌드로 작업이 끝났다고 가정하지 말고 권고문을 추적해야 한다. 새 릴리스마다 버전 검토, 테스트, 배포 계획 수립, 그리고 구형 어플라이언스가 계속 지원 경로에 있는지 확인하는 절차가 필요하다.

이 세 가지 신호는 실용적인 조치 순서도 제시한다. 먼저 현재 노출을 확인하고, 둘째 취약 기간 중 발생한 활동을 조사하며, 셋째 벤더 지침을 계속 모니터링해야 한다.

Windows의 경우 엔드포인트와 서버 전반에서 수정된 빌드를 확인한 뒤, 의심스러운 Shell 및 Terminal 관련 실행을 검토해야 한다. 일반적인 보존 기간이 지나 관련 데이터가 삭제되기 전에 엔드포인트 텔레메트리를 보존하라.

Ivanti의 경우 정확한 어플라이언스 브랜치를 확인하고 지원되는 업데이트를 적용하며, 알려진 악용 기간 동안의 인터넷 노출을 검토해야 한다. 게이트웨이에서 발생한 예기치 않은 활동을 조사하고, 침해 가능성을 배제할 수 없을 때는 접근 가능한 자격 증명을 교체하라.

정상적인 무결성 검사를 종결의 유일한 근거로 사용해서는 안 된다. 문서화된 공격은 눈에 띄는 흔적을 줄이기 위해 메모리를 변경하고, 로그를 삭제하며, 상태를 복원했다.

CISA KEV 카탈로그 업데이트는 광범위한 영향을 지닌 명확한 메시지를 전달한다. 악용은 이미 가능성의 단계에서 관찰의 단계로 넘어섰다. 남은 질문은 각 조직이 공격자가 도달하기 전에 자체 시스템이 수정됐음을 입증할 수 있는지다.

보안 팀은 지금 그 답을 문서화해야 한다. 어떤 영향을 받은 자산이 노출됐는가, 어떤 증거가 보존됐는가, 어떤 자격 증명에 접근할 수 있었는가, 그리고 누가 사고 종결 권한을 갖는가? 패치 배포 완료는 하나의 이정표일 뿐이다. 방어 가능한 보증을 위해서는 노출, 악용, 후속 접근이 각각 검토됐음을 보여주는 기록이 필요하다.