미국 사이버보안 및 인프라 보안국(CISA)은 Windows Internet Key Exchange(IKE) Service Extensions 구성 요소에서 원격 코드 실행을 허용하는 치명적 취약점이 활발히 악용되고 있다고 경고했습니다. 이 취약점은 CVE-2026-33824이며, 지원되는 모든 Windows 10, Windows 11 및 Windows Server 버전에 영향을 미칩니다.
이 취약점은 인증되지 않은 공격자가 IKE 버전 2가 실행되는 장치에 악성 네트워크 패킷을 전송해 업데이트되지 않은 시스템에서 코드를 실행할 수 있도록 합니다. 일반적으로 IKE 통신에 사용되는 UDP 500 또는 4500 포트를 통해 악용할 수 있으며, 계정이나 사전 권한이 필요하지 않습니다.
취약점의 성격은 무엇인가?
Microsoft는 이 취약점을 Windows IKE 확장의 Double Free 오류로 분류합니다. 2026년 4월 보안 업데이트 화요일에 발표한 지침에 따르면, 인증되지 않은 공격자가 IKE 버전 2를 사용하는 장치에 특수하게 제작된 패킷을 전송할 수 있으며, 이로 인해 원격 코드 실행이 발생할 수 있습니다.
MS-IKEE는 Microsoft가 IKE 프로토콜에 추가한 기능 모음으로, 암호학적으로 생성된 주소를 사용한 인증, 서비스 거부 공격 방어, Internet Protocol Security(IPsec) 프로토콜을 지원하지 않는 상대방과의 상호 운용성 향상 등을 포함합니다.
CISA의 조치와 정해진 기한
CISA는 이 취약점을 실제 악용 취약점 카탈로그에 추가하고, 구속력 있는 운영 지침 BOD 26-04에 따라 미국 연방 민간 행정부 기관에 3일 이내에 장치를 보호하도록 명령했습니다. 해당 기관은 이러한 유형의 취약점이 공격에 반복적으로 사용되는 경로이며 연방 환경에 상당한 위험을 초래할 수 있다고 밝혔습니다.
이 구속력 있는 지침은 미국 정부 외부의 기관에는 직접 적용되지 않지만, CISA는 모든 네트워크 방어 담당자에게 진행 중인 공격을 막기 위해 CVE-2026-33824 업데이트를 우선적으로 적용하라고 촉구했습니다. Microsoft는 아직 실제 악용을 반영하도록 지침을 업데이트하지 않았으며, BleepingComputer의 요청을 받았을 때도 공격에 관한 추가 세부 정보를 제공하지 않았습니다.
보안팀에 실질적으로 달라지는 점은 무엇인가?
우선순위는 취약점을 해결한 보안 업데이트를 설치하는 것입니다. 즉시 설치할 수 없다면 Microsoft는 IKE를 사용하지 않는 시스템에서 UDP 500 및 UDP 4500을 통한 인바운드 트래픽을 차단할 것을 권고합니다. IKE에 의존하는 시스템의 경우 알려진 피어 주소에서만 허용하도록 방화벽 규칙을 설정해 인바운드 연결을 제한할 수 있습니다.
이번 경고는 실제 환경에서 악용되는 Microsoft 취약점에 관한 CISA 경고가 이어지는 가운데 나왔습니다. 2021년 11월 이후 해당 기관은 Microsoft 제품에서 악용된 취약점 385개를 등록했으며, 그중 112개는 랜섬웨어 그룹에서도 사용되었습니다. 또한 최근 Windows Task Host 취약점이 랜섬웨어 공격에 악용되고 있다고 확인했으며, 7월 초 악용 징후가 나타나기 시작한 공격에서 Microsoft SharePoint의 원격 코드 실행 취약점이 사용되고 있다고 경고했습니다.