Ivanti는 고위험 인증 우회 취약점인 제로데이 CVE-2026-104935가 실제 공격에 악용되고 있다는 사실이 공개된 후, 고객들에게 원격 접속 게이트웨이 Ivanti Connect Secure를 즉시 업데이트하라고 촉구했다. 이 취약점은 22.8R2.4 이하, 25.1.2.2 이하, 25.1.1.1 이하 버전에 영향을 미친다.
이 취약점을 악용하면 권한이 없는 공격자가 사용자 상호작용 없이도 낮은 복잡도의 공격을 통해 대상 장치에서 임의의 명령을 실행할 수 있다. 과거 Pulse Connect Secure, 그 이전에는 Juniper Pulse로 알려졌던 Connect Secure는 직원, 계약업체, 하이브리드 업무팀에 기업 리소스와 클라우드 서비스에 대한 안전한 접근을 제공하는 데 사용된다.
다단계 악용
Ivanti는 공개 당시 인터넷 환경에서 취약점의 제한적인 악용을 관측했다고 밝혔으며, 고객들에게 보안 공지를 검토하고 패치된 버전으로 업그레이드한 뒤 Integrity Checker 도구를 정기적으로 실행하라고 요청했다. 그러나 취약점을 발견하고 보고한 Volexity는 UTA0576이라는 이름으로 추적 중인 정체불명의 위협 행위자가 최소 10월 3일부터 이 취약점을 사용했으며, 완전히 업데이트된 장치에서도 인증 없이 루트 권한으로 코드를 실행하기 위해 두 가지 추가 취약점과 연계했다고 밝혔다.
Volexity에 따르면 공격자는 지속적인 악성코드나 웹셸을 심지 않았으며, 대신 모든 명령을 실행할 때마다 장치를 다시 악용했다. 또한 흔적을 숨기기 위해 로그를 조작했고 Ivanti의 Integrity Checker 도구를 우회할 수 있었다. Defused는 10월 1일 실제 환경에서 이 취약점이 악용된 최초의 징후를 관측했다고 확인했다.
실무적으로 무엇이 달라지는가?
위험은 현재 취약점에 대한 패치를 설치하는 데만 국한되지 않는다. Ivanti는 동일한 공격 체인에서 사용된 권한 상승 취약점에 대한 대응 작업도 여전히 진행 중이라고 밝혔다. 따라서 영향을 받는 장치 운영자는 보안 공지 전체를 따르고, 시스템과 로그의 무결성을 확인하며, Integrity Checker를 통과했다는 사실만으로 장치가 변조되지 않았다고 판단해서는 안 된다.
Shadowserver는 인터넷에 노출된 Connect Secure 인스턴스 5,500개 이상을 추적하고 있지만, 이 가운데 몇 개가 허니팟을 나타내는지 또는 실제로 보안 조치가 완료된 장치인지 확인할 수 있는 정보는 제공되지 않았다. 이는 노출된 자산을 식별하고 업데이트 우선순위를 정하는 일의 중요성을 높인다. 특히 원격 접속 게이트웨이는 인터넷과 기업 네트워크의 경계에 위치하기 때문이다.
표적이 된 제품에서 반복되는 맥락
Ivanti는 지난 몇 년 동안 공격에 악용된 Connect Secure의 여러 제로데이 취약점을 수정했다. 여기에는 2024년 1월의 CVE-2023-46805와 CVE-2024-21887, 같은 달 후반의 CVE-2024-21893, 그리고 2025년의 원격 코드 실행 취약점 CVE-2025-0282와 CVE-2025-22457이 포함된다. 또한 미국 사이버보안·인프라 보안국 CISA는 2021년 11월 이후 Ivanti 제품에서 실제로 악용된 취약점 36개를 집계했으며, 이 가운데 12개는 랜섬웨어 조직에 의해 악용됐다.
certi.news의 분석: 여기서 실제 변화는 인증 우회 취약점이 공개 단계에서 실제 악용 단계로 넘어가 공격자에게 높은 권한으로 명령을 실행할 수 있는 능력을 제공했다는 점이다. 또한 검증 도구를 회피하는 데 도움이 되는 기법의 징후도 나타났다. 악용 범위와 실제로 침해된 장치 수는 여전히 확정되지 않았으므로, 업데이트와 영향을 받은 시스템에 대한 포렌식 검증은 서로 대체할 수 없는 병행 조치다.