미국 사이버보안·인프라 보안국(CISA)의 경고에 따르면 ConnectWise ScreenConnect 플랫폼의 치명적 취약점이 실제로 악용되고 있다. 이 취약점의 식별자는 CVE-2026-84869이며, CISA는 이를 악용된 취약점 목록에 추가하고 미국 연방기관에 3일 이내 시스템을 보호할 것을 요구했다.
문제는 권한 부여 검증 부재와 부적절한 권한 관리와 관련이 있다. 공개된 설명에 따르면 기본 권한을 보유한 공격자는 적절한 권한 부여나 호스트의 확인 없이 활성 원격 접속 세션을 통해 파일을 전송하거나 실행할 수 있다. 공격에는 높은 복잡성이나 사용자 상호작용이 필요하지 않다.
영향받는 버전과 이용 가능한 조치
ConnectWise는 ScreenConnect 26.6.5 및 이후 버전에 취약점 수정 사항을 배포했다. 회사는 업데이트를 적용하기 전에 결함 악용 가능성을 줄이기 위한 조치로 TransferFiles 권한을 비활성화하는 임시 완화책을 9월 7일 공유한 바 있다.
이 순서는 파일 전송 비활성화가 패치의 대안이 아니라 공격 표면을 줄이기 위한 임시 조치임을 보여준다. 기본 조치는 수정 사항이 포함된 버전으로 ScreenConnect를 업데이트하는 것이며, 노출된 시스템에서 침해 지표를 점검해야 한다. 다만 출처는 이에 관한 추가적인 운영 세부 정보를 제공하지 않았다.
광범위한 노출을 보여주는 지표
Shadowserver는 여전히 업데이트되지 않은 채 인터넷에서 공격에 노출된 ScreenConnect 인스턴스를 1,000개 이상 추적하고 있다. 가장 많은 수는 북미에 집중되어 있으며 758개이고, 유럽이 180개로 뒤를 잇는다.
IT 서비스 제공업체와 내부 IT 팀은 장애를 진단하고 업데이트를 적용하며 유지보수 작업을 수행하기 위해 ScreenConnect를 원격 접속 용도로 사용한다. ConnectWise는 전 세계 100,000곳 이상의 IT 서비스 제공업체에 서비스를 제공한다고 밝히고 있어, 플랫폼의 취약점 악용은 원격 지원 및 관리 서비스에 의존하는 다수 환경에 잠재적인 영향을 미칠 수 있다.
왜 중요한가?
이 취약점의 중요성은 이론적 심각도뿐 아니라 실제 악용이 관찰되는 단계로 진입했다는 점과 1,000개가 넘는 인스턴스가 여전히 노출되어 있다는 점에 있다. 또한 ScreenConnect의 과거 기록은 이 플랫폼이 금전적 동기를 가진 범죄 집단과 국가 지원 행위자들의 표적이었음을 보여준다. CVE-2024-1709 취약점은 2024년에 북한의 Kimsuky 그룹과 여러 랜섬웨어 조직에 의해 악용됐다.
2024년 이후 CISA는 ScreenConnect의 취약점 4개를 악용된 취약점 목록에 추가했으며, 이 중 2개는 랜섬웨어 공격에도 사용됐다. 3월에는 ConnectWise가 암호화된 서명 검증 취약점을 해결했으며, 식별자는 CVE-2026-3564였다. 이 취약점은 업데이트되지 않은 ScreenConnect 서버를 탈취하는 데 악용될 수 있었다. 또한 회사는 지난해 국가 지원 행위자로 지목된 세력이 코드 주입을 통한 ViewState 결함을 악용해 제한된 수의 고객 클라우드 인스턴스에 접근한 침해 사례를 공개했다.
실제로 ScreenConnect 사용자는 업데이트를 우선시하고 임시 완화 조치에만 의존하지 않아야 한다. 시스템이 기업 환경 내부에 있더라도 인터페이스가 노출되어 있거나 권한이 필요 이상으로 광범위하다면 악용 위험이 사라지지 않는다는 점에도 유의해야 한다.