Ivanti Connect Secure 취약점, CISA 경보 촉발…패치만으로는 충분하지 않아
공격자들이 10월 13일 공개 전 완전히 패치된 어플라이언스를 상대로 Ivanti Connect Secure 취약점을 악용한 뒤, Ivanti는 긴급 대응에 나섰다. CISA는 같은 날 CVE-2026-104935를 Known Exploited Vulnerabilities 카탈로그에 추가했다. 이 취약점은 원격 공격자가 사용자 상호작용 없이 인증을 우회하고 임의의 명령을 실행할 수 있도록 한다.
즉각적인 지침은 간단하다. Ivanti의 수정 릴리스를 설치하는 것이다. 더 어려운 문제는 공격자가 이미 침입했는지, 자격 증명을 탈취했는지, 가장 명백한 증거를 제거했는지를 판단하는 일이다. 조사관들은 관찰된 공격자가 기존의 백도어를 설치하는 대신 어플라이언스를 반복적으로 악용했다는 사실을 확인했다.
이러한 행태는 익숙한 패치 후 스캔 대응 방식에 의문을 제기한다. 패치는 공개된 침입 경로를 차단하지만, 탈취된 비밀 정보를 무효화하거나 그 이전에 어플라이언스가 깨끗했다는 사실을 증명하지는 못한다. 인터넷에 노출된 VPN 게이트웨이의 경우, 이제 복구에는 소프트웨어 유지보수와 사고 조사가 모두 필요하다.
CISA, Ivanti Connect Secure 취약점을 긴급 사안으로 격상
CISA의 경보는 CVE-2026-104935를 이론적인 소프트웨어 약점에서 확인된 사고 대응 우선순위로 바꾼다.
기관의 10월 13일 연방 경보에 따르면, 위협 행위자들은 자격 증명 탈취와 데이터 유출을 위해 이 취약점을 악용하고 있다. CISA는 이 결함을 흔히 KEV라고 부르는 Known Exploited Vulnerabilities 카탈로그에도 추가했다.
KEV 등재는 일반적인 취약점 공지보다 운영상 더 큰 의미를 갖는다. 이는 CISA가 공격자들이 실험실 밖에서 이 결함을 사용하고 있다는 증거를 확보했다는 뜻이다. 연방 민간 기관은 구속력 있는 연방 요구사항에 따라 KEV 항목을 완화해야 한다.
영향을 받는 제품은 엔터프라이즈 네트워크에서 특히 민감한 위치에 놓여 있다. Ivanti Connect Secure는 사용자를 내부 애플리케이션과 클라우드 리소스에 연결하는 원격 액세스 게이트웨이다. 인터넷 트래픽을 수용하면서 내부 ID 시스템과의 신뢰 연결을 유지해야 한다.
이러한 배치는 성공적인 인증 우회를 유난히 중대하게 만든다. 공격자는 일반 직원 워크스테이션에서 시작하지 않는다. 인터넷과 보호된 서비스 간의 액세스를 중개하도록 설계된 장치에서 시작한다.
CVE-2026-104935의 CVSS 점수는 8.6이다. 요청을 라우팅하는 데 사용되는 정보를 어플라이언스가 잘못 신뢰한다는 의미의 스푸핑 기반 인증 우회로 분류된다. 악용에는 낮은 복잡도만 필요하며, 기존 계정이나 피해자 상호작용이 필요하지 않다.
Ivanti에 따르면 영향을 받는 릴리스는 다음과 같다.
해당 코드 라인의 Version 25.1.1.1 및 이전 버전
해당 코드 라인의 Version 25.1.2.2 및 이전 버전
해당 코드 라인의 Version 22.8R2.4 및 이전 버전
사용 가능한 수정 릴리스에는 25.1.1.2, 25.1.3.0, 25.1.3.1, 22.8R2.5가 포함된다. 관리자는 배포된 브랜치에 맞는 업데이트를 적용하고 보안 권고문에서 최신 지침을 확인해야 한다.
Ivanti는 22.7.x 및 이전 버전은 이 특정 취약점의 영향을 받지 않는다고 밝혔다. 이 설명은 이전 소프트웨어에 대한 일반적인 지원 또는 보안 보증으로 해석해서는 안 된다. 조직은 설치된 릴리스의 수명 주기 상태와 기타 취약점을 별도로 검토해야 한다.
회사는 취약점을 공개했을 당시 제한적인 악용 사례를 알고 있었다고 밝혔다. “제한적”이라는 표현은 Ivanti가 파악한 사례를 설명할 뿐, 침해된 어플라이언스의 총수를 뜻하지는 않는다. 고도화된 공격자는 흔적을 최소화하는 경우가 많으며, 많은 조직은 네트워크 어플라이언스에 대한 완전한 텔레메트리를 갖추지 못했다.
인터넷 노출은 긴급성을 더한다. Shadowserver는 공개 후 온라인상에서 명백한 Connect Secure 인스턴스가 5,500개를 넘는 것으로 추적했다. 이 수에는 허니팟, 중복 관측치, 이미 업데이트를 받은 시스템이 포함될 수 있다.
그럼에도 이 수치는 도달 가능한 공격 표면을 보여준다. 기술적 지식이 퍼지면 공격자는 많은 기업이 유지보수 일정을 잡는 속도보다 훨씬 빠르게 취약한 게이트웨이를 스캔할 수 있다. 따라서 노출된 어플라이언스는 최초 공격자와 이후 모방 공격자 모두로부터 위험에 처한다.
이것이 CISA가 “즉시”라는 단어를 사용한 이유다. 일반적인 월간 패치 주기는 방어자가 업데이트를 테스트하고, 일정을 잡고, 배포할 시간이 있다고 가정한다. 확인된 제로데이 악용은 이러한 가정을 없앤다.
그러나 업데이트는 첫 번째 결정일 뿐이다. 관찰된 캠페인은 공개 이전에 시작됐고 당시 최신 릴리스를 실행 중인 어플라이언스를 표적으로 삼았다. 따라서 영향을 받는 모든 조직은 패치 설치 시점뿐 아니라 노출이 언제 시작됐는지도 물어야 한다.
공격자들은 로그인 없이 Root 권한에 도달했다
이 익스플로잇은 세 가지 약점이 하나의 사슬을 이뤄, 공개 로그인 요청 하나를 root 수준 명령 실행으로 전환했기 때문에 작동했다.
Volexity는 10월 5일 시작된 조사 과정에서 해당 활동을 발견했다. 연구원들은 의심스러운 행위를 Version 22.8R2.4, Build 19097을 실행 중인 Ivanti Connect Secure 어플라이언스로 추적했다. 이 릴리스는 당시 완전히 패치된 상태였다.
이 회사는 악용이 10월 3일부터 시작됐다는 사실을 확인했다. 또 다른 위협 인텔리전스 제공업체는 10월 1일부터 관련 징후를 관찰한 것으로 알려졌다. 공개와 수정 조치는 10월 13일에 이뤄졌으며, 그 사이에는 상당한 미확인 노출 기간이 존재했다.
Volexity는 신원이 확인되지 않은 공격자를 UTA0576으로 추적한다. 이 명칭은 확인된 조직이나 정부 후원자가 아니라 활동 클러스터를 식별한다. 이 회사는 관찰된 작전이 첩보 목적보다는 범죄 동기일 가능성이 있다는 평가를 낮은 신뢰도로 제시했다.
첫 단계는 어플라이언스의 로그인 페이지를 제공하는 공개 구성요소 welcome.cgi 주변의 요청 라우팅을 악용했다. 공격자들은 X-DSCGI-PATH 헤더에 다른 경로를 제공했다. 어플라이언스는 인증을 위해 공개 URL을 검사했지만, 헤더를 사용해 목적지를 선택했다.
이 불일치로 인해 인증되지 않은 요청이 보호된 업로드 핸들러인 wu.cgi로 라우팅됐다. 그 결과 인증 우회가 발생했다. 로그인 제어 뒤에 있어야 할 구성요소가 공개 요청을 통해 접근 가능해진 것이다.
두 번째 단계는 짧은 파일 처리 경쟁 상태를 악용했다. 경쟁 상태는 두 작업 중 어느 작업이 먼저 끝나는지에 보안이 좌우될 때 발생한다. 여기서 업로드 핸들러는 제공된 파일이 유효한 ZIP 아카이브인지 확인하기 전에 파일을 기록했다.
공격자는 .zip 확장자를 가진 Perl 스크립트를 업로드했다. 핸들러는 결국 잘못된 파일을 거부하고 삭제했다. 그러나 삭제되기 전 짧은 시간 동안 파일은 디스크에 존재했다.
UTA0576은 그 시간 창 안에 임시 파일을 실행하려는 병렬 요청을 보냈다. 이러한 요청을 반복하면 정리 작업 전에 하나가 도착할 가능성이 커졌다. 타이밍에 성공하면 제한된 cgi-server 계정으로 코드 실행이 가능해졌다.
Ivanti는 인증 우회와 원격 코드 실행 단계를 CVE-2026-104935로 묶었다. 10월 13일 릴리스는 이 사슬의 해당 부분을 패치한다. 접근 권한을 root로 높이는 세 번째 단계는 별도로 처리되고 있다.
권한 상승을 위해 공격자는 권한 있는 백그라운드 서비스가 구성 데이터를 신뢰하는 방식을 조작했다. 이 익스플로잇은 프로세스 메모리 내부의 Ivanti 라이브러리를 수정했다. 이후 정상 유지보수 작업을 악성 Perl 스크립트로 리디렉션했다.
권한 있는 서비스는 해당 스크립트를 root로 실행했다. Root 액세스는 공격자에게 기본 어플라이언스에 대한 가장 높은 수준의 실질적 통제권을 제공한다. 이 익스플로잇은 Linux 시스템에서 보호된 비밀번호 정보를 저장하는 /etc/shadow를 읽을 수 있는지 확인해 성공 여부를 점검했다.
이후 공격자는 변경된 구성과 메모리 명령을 복원했다. 또한 Ivanti 디버그 로그와 Linux 감사 로그에서 선택된 항목을 제거했다. 이러한 조치는 각 명령 뒤에 남는 증거를 줄였다.
완전한 기술적 재구성은 이 공격이 영구적인 페이로드 하나를 사용하는 단일 요청이 아니었음을 보여준다. 공격자는 추가 명령이 필요할 때마다 익스플로잇 체인을 다시 실행했다.
이 방법은 번거롭지만, 공격자에게는 방어적 이점이 있다. 조사관들은 침해된 어플라이언스에서 1단계 백도어나 기존 웹 셸을 발견하지 못했다. 명령과 그 출력은 익스플로잇의 HTTPS 요청을 통해 전달됐다.
일부 페이로드 단계는 메모리에만 존재했다. 한 단계에서는 압축되고 Base64로 인코딩된 Python 스크립트를 풀어 원본 스크립트를 디스크에 보존하지 않고 실행했다. 메모리 전용 실행은 일반적인 파일 기반 스캔으로 나중에 복구할 수 있는 범위를 제한한다.
Volexity는 이 체인이 Ivanti의 Integrity Checker Tool도 우회했다고 밝혔다. 이 도구는 예상치 못한 파일 변경을 찾지만, 공격은 메모리와 구성 데이터를 일시적으로 변경했다. 익스플로잇은 root 액세스를 획득한 후 이러한 변경 사항을 복원했다.
이 구분은 영향을 받는 모든 조직에 중요하다. 예상치 못한 파일 수정이 없다는 결과의 무결성 검사는 악용이 발생하지 않았음을 증명하지 않는다. 이는 해당 도구가 검사하도록 설계된 더 좁은 질문에만 답할 뿐이다.
자격 증명 탈취가 VPN을 공격의 출발점으로 만들었다
UTA0576은 침해된 게이트웨이를 이용해 ID 데이터에 접근했으며, 어플라이언스 결함을 더 광범위한 엔터프라이즈 액세스 문제로 전환했다.
공격자의 침해 후 활동은 자격 증명, 디렉터리 정보, 네트워크 정찰, 데이터 반출에 집중됐다. 이러한 활동은 VPN 어플라이언스를 넘어선 이동을 준비했음을 시사한다. Volexity는 공격자의 최종 목표가 명확해지기 전에 캠페인이 차단됐다고 밝혔다.
Active Directory가 주요 표적이었다. Active Directory는 엔터프라이즈 ID, 컴퓨터, 권한, 인증을 관리하는 Microsoft의 디렉터리 서비스다. VPN 어플라이언스는 원격 사용자를 확인하기 위해 서비스 계정을 통해 이에 연결되는 경우가 많다.
UTA0576은 어플라이언스의 액세스를 사용해 내부 도메인 컨트롤러를 조회했다. 조사관들은 맞춤형 LDAP 도구와 관련 Python 스크립트를 복구했다. LDAP는 디렉터리 정보를 검색하고 관리하는 데 사용되는 프로토콜이다.
공격자는 여러 유형의 가치 있는 데이터를 검색했다.
Local Administrator Password Solution 자격 증명
BitLocker 복구 정보
저장된 비밀번호 값을 포함하는 속성
사용자 계정 메타데이터 및 로그온 스크립트 경로
인증 기록에서 발견된 유효한 사용자 이름
Local Administrator Password Solution, 즉 LAPS는 Windows 장치의 로컬 관리자 비밀번호를 관리한다. BitLocker 복구 정보는 암호화된 Windows 드라이브의 잠금을 해제할 수 있다. 둘 중 어느 하나가 탈취돼도 취약한 VPN이 패치된 뒤 오랫동안 액세스가 확대될 수 있다.
공격자는 디렉터리 결과를 압축하고 인코딩한 뒤 익스플로잇 채널을 통해 이동시켰다. Volexity는 공격자가 표적으로 삼은 Active Directory 쿼리를 통해 이용 가능한 정보를 유출했다는 점을 높은 신뢰도로 평가했다.
UTA0576은 어플라이언스에 저장된 패킷 캡처도 조사했다. 공격자는 기록된 네트워크 트래픽에서 자격 증명과 비밀번호 크래킹 자료를 찾도록 설계된 파서를 실행했다. 표적에는 평문 LDAP 자격 증명, HTTP Basic Authentication 자격 증명, NTLM 챌린지-응답 해시가 포함됐다.
NTLM 해시는 오프라인 비밀번호 공격이나 기타 자격 증명 악용 기법에 사용될 수 있다. 위험 수준은 조직의 구성, 비밀번호 품질, 인증 통제에 따라 달라진다. 이러한 해시 수집은 단일 장비 업데이트를 넘어선 복구 부담을 계속 발생시킨다.
조사관들은 숨겨진 디렉터리에서 실행 중인 이름이 변경된 패킷 캡처 유틸리티를 발견했다. 이 도구는 LDAP, HTTP, FTP, Telnet을 비롯한 평문 프로토콜과 관련된 트래픽을 필터링했다. 8개의 순환 캡처 파일은 이전 트래픽을 지속적으로 교체하면서 저장 공간을 제한했다.
이 캠페인에는 내부 DNS 조회와 호스트명 정찰도 포함됐다. 공격자는 Active Directory 계정을 상대로 비밀번호 스프레이를 수행하는 보조 스크립트를 사용했다. 비밀번호 스프레이는 하나의 사용자명에 대한 반복 실패를 피하기 위해 여러 계정에 소수의 유력한 비밀번호를 시험하는 방식이다.
이러한 활동은 엣지 어플라이언스가 왜 가치 있는 정보 수집 지점이 될 수 있는지 보여준다. 이 장비는 인증 흐름을 처리하고 일반 엔드포인트가 전혀 받지 못할 수 있는 네트워크 트래픽을 확인한다. 이를 침해하면 진입점뿐 아니라 내부 관계를 관찰하는 플랫폼도 확보할 수 있다.
관측된 공격자는 VPN 구성 디렉터리와 인증 로그도 검색했다. 이러한 기록은 인증 방식, 사용자명, 내부 도메인, 연결된 서비스를 드러낼 수 있다. 검색이 성공하지 못하더라도 공격자가 다음 단계를 파악하는 데 도움이 될 수 있다.
이것이 CISA 경고의 핵심적인 역전이다. 조직은 ID 경계를 강제하기 위해 원격 액세스 게이트웨이를 도입한다. 하지만 이 사고에서 게이트웨이는 인증을 우회하는 경로가 되었고, 이후 추가 인증 자료의 출처가 됐다.
이 위험은 어플라이언스의 로컬 계정에만 국한되지 않는다. 관리자는 장비가 저장, 전송, 캡처했거나 통합 서비스 계정을 통해 접근할 수 있었던 모든 비밀 정보를 고려해야 한다. 관련 범위에는 디렉터리 자격 증명, 복구 키, 토큰, 사용자 비밀번호가 포함될 수 있다.
자격 증명 교체는 증거와 아키텍처에 따라 진행해야 한다. 계획 없이 모든 계정을 재설정하면 운영을 중단시키는 동시에 눈에 잘 띄지 않는 서비스 자격 증명을 놓칠 수 있다. 팀은 어플라이언스의 통합 지점을 파악하고 권한이 있거나 재사용 가능한 액세스 권한을 가진 비밀 정보를 우선순위로 정해야 한다.
조직은 게이트웨이에서 시작된 활동도 검토해야 한다. 성공적인 익스플로잇은 악성 연결이 신뢰할 수 있는 네트워크 장치에서 온 것처럼 보이게 할 수 있다. 하위 시스템은 이러한 연결을 일반 인터넷 트래픽과 다르게 처리할 수 있다.
Volexity는 초기 장치에서 다른 시스템으로 이동하는 행위인 측면 이동을 준비한 징후를 발견했다. 모든 관측 기법이 성공했다고 주장하지는 않았다. 또한 공격자의 궁극적인 목표도 판단하지 못했다.
이 불확실성은 결론을 좁혀야지, 차단 조치를 지연시켜서는 안 된다. 방어자는 조사된 환경 중 최소 한 곳에서 자격 증명 탈취와 데이터 유출에 대한 검증된 증거를 확보했다. 어플라이언스를 업데이트하면 이전 접근으로 인한 모든 결과가 끝난다고 가정해서는 안 된다.
패치는 진입점을 닫을 뿐, 조사를 끝내지는 않는다
현재의 핵심 충돌은 패치와 입증 사이에 있다. 수정된 소프트웨어를 설치하는 일은 필요하지만, 이전 익스플로잇이 성공했는지 확인할 수는 없다.
Ivanti는 고객에게 즉시 업그레이드하고 Integrity Checker Tool을 정기적으로 실행하라고 권고한다. 이러한 조치는 노출을 줄이고 일부 변조 형태를 식별할 수 있다. 그러나 이번 사고에서 문서화된 모든 기법을 포괄하지는 않는다.
Volexity는 공격자가 일부 로그 항목을 삭제하고 임시 변경 사항을 복원한 사실을 발견했다. 공격자는 사용 후 스크립트와 실행 결과도 제거했다. 여러 중요한 구성 요소는 메모리에서만 실행됐다.
이러한 안티포렌식 행위는 깨끗한 검사 결과의 가치를 바꾼다. 예상된 결과는 어플라이언스가 깨끗하다는 의미일 수 있다. 그러나 공격자가 선택된 도구가 측정하는 흔적을 피했다는 의미일 수도 있다.
따라서 Rapid7의 대응 분석은 업데이트 적용 후 침해 징후를 검색할 것을 권고한다. 의심스러운 활동을 발견한 조직은 Ivanti의 복구 지침을 따르고 유용한 증거를 보존해야 한다.
어플라이언스 로그로 확인할 수 없을 때는 네트워크 텔레메트리가 단서를 제공할 수 있다. Volexity는 공개 welcome.cgi 경로로 향하는 비정상적인 요청량을 살펴볼 것을 권고한다. 방어자는 요청된 URL과 X-DSCGI-PATH 헤더 간 불일치도 검토할 수 있다.
이러한 지표는 유용하지만 완전하지는 않다. 공격자는 경로, 타이밍, 인프라, 익스플로잇 이후 명령을 바꿀 수 있다. 공개된 하나의 패턴이 없다는 사실이 보편적인 안전 판정 기준이 되어서는 안 된다.
메모리 수집은 디스크 검사에서 놓치는 휘발성 흔적을 드러낼 수 있다. 그러나 운영 중인 게이트웨이에서 메모리를 수집하려면 적절한 절차와 전문성이 필요하다. 부주의한 재부팅이나 재구축은 사고를 이해하는 데 필요한 증거를 파괴할 수 있다.
이는 운영상의 상충 관계를 만든다. 팀은 취약한 장비를 신속히 서비스에서 제거하려 한다. 조사관은 어떤 일이 있었고 어떤 자격 증명을 교체해야 하는지 판단할 수 있을 만큼의 상태를 보존하려 한다.
올바른 순서는 노출 수준, 비즈니스 요구, 이중화, 이용 가능한 포렌식 지원에 따라 달라진다. 조직은 지표나 어플라이언스에서 시작된 설명되지 않는 연결을 발견하면 사고 대응 인력을 조기에 참여시켜야 한다. 모든 차단 조치와 그 시각을 문서화해야 한다.
방어 가능한 대응은 일반적으로 네 가지 질문을 분리한다:
설치된 릴리스는 취약한가?
익스플로잇 기간 동안 어플라이언스에 접근할 수 있었는가?
시도되었거나 성공한 익스플로잇의 증거가 있는가?
침해 이후 어떤 시스템과 자격 증명에 접근할 수 있었는가?
패치는 첫 번째 질문에만 답한다. 노출 기록, 네트워크 로그, 메모리 증거, ID 로그, 하위 시스템 텔레메트리가 나머지 질문에 답한다. 이러한 질문을 서로 대체 가능한 것으로 취급하면 잘못된 확신이 생긴다.
해결되지 않은 권한 상승 취약점은 또 다른 복잡성을 더한다. Ivanti는 10월 13일 인증 우회 및 원격 코드 실행 구성 요소를 패치했다. Volexity는 별도의 권한 상승 결함에 대해서는 Ivanti가 이후 릴리스를 계획하고 있다고 밝혔다.
그렇다고 10월 수정 이후에도 문서화된 공격 체인이 계속 사용 가능하다는 의미는 아니다. 인증되지 않은 진입점과 실행 단계를 차단하면 해당 특정 경로는 중단돼야 한다. 다만 관리자는 추가 릴리스를 추적하고 Ivanti가 제공하면 설치해야 한다.
조직은 업데이트가 실제로 완료됐는지도 확인해야 한다. 어플라이언스 클러스터, 대기 노드, 재해 복구 시스템, 잊힌 테스트 게이트웨이는 기본 장비가 변경된 뒤에도 취약한 상태로 남을 수 있다. 자산 기록은 실제 버전 데이터와 대조해야 한다.
외부 탐색은 관리되지 않는 노출을 파악하는 데 도움이 될 수 있다. Shadowserver의 노출 대시보드는 하나의 외부 관점을 제공하지만, 어떤 외부 데이터세트도 완벽한 인벤토리를 제공하지는 않는다. 내부 소유권 기록은 여전히 필수적이다.
완전한 대응에는 ID 통제가 포함돼야 한다. 팀은 인증 패턴, 서비스 계정 사용, 권한 있는 디렉터리 쿼리, 비밀번호 스프레이 신호, 비정상적인 복구 키 접근을 검토해야 한다. 관련 비밀 정보는 팀이 종속성을 이해한 뒤 교체해야 한다.
하위 시스템도 별도로 검토할 필요가 있다. VPN 어플라이언스에서 발생한 연결은 신뢰를 상속받거나 일반 클라이언트에 적용되는 통제를 우회했을 수 있다. 조사관은 의심되는 기간에 게이트웨이에서 시작된 비정상 트래픽을 식별해야 한다.
가장 안전한 결론은 가장 불편한 결론이기도 하다. 이 사고에는 단일한 “이상 없음” 버튼이 없다. 수정된 소프트웨어, 깨끗한 무결성 검사 결과, 공개된 지표의 부재는 각각 증거를 제공한다. 그 어느 것도 장비가 침해된 적이 없음을 독립적으로 증명하지는 못한다.
Ivanti의 이전 제로데이가 압박을 높인다
CVE-2026-104935는 엣지 제품의 반복된 악용 이후에 등장했으므로, 고객은 하나의 패치뿐 아니라 대응 성숙도도 평가하고 있다.
Ivanti Connect Secure는 최근 몇 년간 여러 심각한 활성 악용 취약점에 직면했다. 2024년 초 공격자들은 CVE-2023-46805와 CVE-2024-21887을 연결해 사용했다. 이 조합은 인터넷에 노출된 게이트웨이에 대한 인증 우회와 명령 삽입을 제공했다.
CISA는 해당 사건 당시 적극적으로 대응했다. 연방 기관은 완화 조치를 적용하고, 무결성 검사를 실행하며, 지정된 조건에서는 영향을 받은 장비를 결국 연결 해제하라는 지침을 받았다. 이후 분석에서는 일부 복구 조치에도 불구하고 공격자가 접근 권한을 유지할 수 있다고 경고했다.
2025년 1월 Ivanti는 Connect Secure에 영향을 미치는 스택 기반 버퍼 오버플로인 CVE-2025-0282의 활성 악용을 공개했다. 그해 후반에는 또 다른 Connect Secure 취약점인 CVE-2025-22457이 중국 연계 스파이 활동 그룹의 악용과 연결됐다.
새로운 사고가 모든 Ivanti 어플라이언스가 침해됐거나 유독 안전하지 않다는 사실을 증명하지는 않는다. 여러 공급업체의 엔터프라이즈 엣지 제품은 집중적인 연구와 지속적인 공격자의 관심을 끈다. 이들의 위치는 성공적인 익스플로잇을 특히 가치 있게 만든다.
Volexity는 최근 SonicWall Secure Mobile Access 어플라이언스 악용과 직접 비교했다. 두 사례 모두에서 루트 접근 권한을 가진 공격자는 자격 증명을 복구하기 위해 패킷 캡처를 조사했다. 이러한 중복은 신뢰받는 네트워크 엣지 시스템을 겨냥한 더 광범위한 전략을 시사한다.
VPN 게이트웨이는 공격자에게 유리한 여러 특성을 공유한다. 인터넷에서 접근할 수 있고, 대개 지속적으로 운영되며, ID 인프라에 직접 연결된다. 또한 많은 엔드포인트 보안 제품이 정상적으로 모니터링할 수 없는 특수 운영 환경에서 실행된다.
워크스테이션에는 엔드포인트 탐지, 애플리케이션 통제, 상세한 프로세스 텔레메트리가 있을 수 있다. 보안 어플라이언스는 소유자에게 더 적은 조사 도구를 제공하는 경우가 많다. 공격자는 매우 신뢰받는 네트워크 위치에서 활동하면서 이러한 가시성 격차를 악용할 수 있다.
반복되는 패턴은 공급업체와 고객 모두에게 압박을 가한다. 공급업체는 부분적인 결함을 발견한 시점과 지원되는 모든 분기를 보호하는 시점 사이의 기간을 단축해야 한다. 고객은 비상 공지를 주요 탐지 메커니즘으로 의존하는 정도를 줄여야 한다.
Ivanti는 CVE-2026-104935의 일부가 제품 보안 프로그램을 통해 발견됐다고 밝혔다. 해당 구성 요소는 버전 25.1.3.0의 2026년 7월 릴리스에서 수정됐다. 회사가 다른 지원 버전에 수정 사항을 백포팅하는 동안 악용이 발생했다.
이 일정은 면밀히 검토할 가치가 있지만, 단순한 비난을 뒷받침하지는 않는다. 릴리스 분기 전반에 걸쳐 보안 변경 사항을 백포팅하려면 엔지니어링 작업과 호환성 테스트가 필요할 수 있다. 공개된 세부 정보만으로는 Ivanti가 전체 익스플로잇 체인이나 실제 사용 사실을 언제 파악했는지 알 수 없다.
그럼에도 결과는 패치 공백을 드러냈다. 한 분기에 관련 수정 사항이 포함된 뒤에도 다른 지원 분기를 사용하는 일부 고객은 취약한 상태로 남아 있었다. 공격자들은 그 기간에 활동했으며, 해당 라인에서 최신으로 간주되던 릴리스를 침해했다.
이는 실무적인 조달 질문을 제기한다. 구매자는 공급업체가 지원되는 분기 전반에 보안 수정을 어떻게 전파하는지 물어야 한다. 또한 수정 사항과 함께 탐지 지침이 제공되는지, 어플라이언스가 포렌식 증거를 어떻게 보존하는지도 물어야 한다.
고객은 또 다른 권고문을 기다리지 않고도 향후 노출을 줄일 수 있다. 인터넷 직접 접근성을 최소화하고, 관리 인터페이스를 제한하며, 게이트웨이에서 시작되는 트래픽을 모니터링할 수 있다. 또한 공격자가 로컬에서 모든 유용한 기록을 삭제하지 못하도록 로그를 중앙화할 수 있다.
세그멘테이션도 중요하다. 원격 액세스 어플라이언스는 신뢰받는 기능을 수행한다는 이유만으로 제한 없는 접근 권한을 받아서는 안 된다. 해당 서비스 계정은 필요한 권한만 보유해야 하며, 가능한 경우 평문 인증 프로토콜은 제거해야 한다.
이러한 조치가 제로데이 위험을 완전히 없애지는 못한다. 다만 하나의 장비가 뚫렸을 때 공격자가 얻을 수 있는 가치를 제한한다. Ivanti, SonicWall, Citrix 및 기타 엣지 사고가 반복해서 보여준 교훈은 경계 장비에도 내부 격리가 필요하다는 것이다.
따라서 Ivanti에 대한 압박은 업데이트 배포를 넘어설 것이다. 고객들은 남아 있는 권한 상승 취약점 수정이 얼마나 신속하게 제공되는지 지켜볼 것이다. 또한 새 릴리스가 증거 수집을 개선하고 메모리 전용 변조에 더 잘 견디는지도 평가할 것이다.
대응이 효과를 거뒀는지 보여줄 세 가지 신호
다음 단계는 공격 악용의 확산, 남아 있는 Ivanti 수정 사항, 그리고 최초 조사 환경을 넘어선 침해 증거에 달려 있다.
첫 번째 신호는 공개 이후 스캐닝과 악용이 확대되는지 여부다. Volexity는 무기화된 익스플로잇 코드를 공개하지 않았지만, 기술적 세부 정보는 현재 उपलब्ध하다. 다른 행위자들도 라우팅 결함을 분석하고, 경쟁 상태를 재현하며, 자체 구현을 개발할 수 있다.
welcome.cgi와 관련된 요청 또는 의심스러운 X-DSCGI-PATH 값이 급증한다면 긴급 격리 조치의 필요성이 더욱 뚜렷해질 것이다. 사고 대응 업체의 보고서는 UTA0576이 주요 운영자로 남았는지, 아니면 여러 공격자 중 하나가 되었는지를 보여줄 것이다.
두 번째 신호는 별도의 권한 상승 취약점에 대해 Ivanti가 약속한 수정 사항이다. 관리자는 회사의 권고문, 릴리스 노트 및 지원 버전 지침을 추적해야 한다. 배포 후에는 모든 활성 및 대기 노드를 검증해야 한다.
시기적절한 릴리스는 공격 체인에서 문서화된 또 다른 로컬 권한 상승 경로를 제거할 것이다. 반대로 지연될 경우 CVE-2026-104935 자체가 패치된 뒤에도 고객은 추가적인 불확실성을 관리해야 한다.
세 번째 신호는 하류 시스템 침해의 발견이다. 탈취된 디렉터리 자격 증명, 무단 BitLocker 복구 접근 또는 측면 이동과 관련된 새 보고서는 이 사고의 알려진 영향을 확대할 것이다. 또한 장비 중심의 대응만으로는 범위가 지나치게 좁았음을 확인해 줄 것이다.
조직은 자체 환경을 점검하기 전에 그러한 보고서를 기다려서는 안 된다. 관찰된 공격자는 루트 권한을 획득한 직후 ID 관련 비밀 정보를 검색했다. 이러한 행위는 노출된 시스템에 대한 최소 조사 범위를 규정한다.
방어 담당자는 전체 노출 기간을 포괄하는 게이트웨이, 방화벽, ID, DNS 및 디렉터리 로그를 보존해야 한다. 장비에서 발생한 연결 중 정상적인 원격 액세스 행위와 일치하지 않는 것을 찾아야 한다. 관련 서비스 계정과 재사용 가능한 비밀 정보에는 특별한 주의가 필요하다.
Ivanti Connect Secure 취약점은 취약점 관리 프로그램을 폭넓게 시험하는 사례이기도 하다. 패치 속도만큼 자산 파악 속도도 중요하다. 어떤 조직도 소유자가 없는 대기 게이트웨이, 잊힌 테스트 장비 또는 승계받은 장비를 보호할 수는 없다.
따라서 CISA의 경고는 하나의 조율된 워크플로를 촉발해야 한다. 보안 운영, 네트워크 엔지니어링, ID 팀 및 사고 대응 담당자는 동일한 타임라인과 자산 목록을 공유해야 한다. 각 팀은 공격 경로의 서로 다른 부분을 확인한다.
패치는 여전히 시급하지만, 이는 시작일 뿐이다. 더 중요한 질문은 패치가 적용되기 전에 해당 장비가 무엇에 접근했는지 조직이 입증할 수 있는가이다. 권고문을 검토하고, 배포된 모든 버전을 확인하며, 증거를 보존하고, 지금 바로 게이트웨이 발 활동을 조사하라. 해당 장비가 가치 있는 ID 데이터에 접근할 수 있었다면, 이를 일상적인 유지보수로 취급하고 있는가, 아니면 침해 가능성으로 보고 있는가?
