미국 사이버보안·인프라보안국(CISA)은 최소 10월 1일부터 제로데이 공격에서 인증 우회 취약점이 악용되고 있음을 확인한 후, 보안팀에 Ivanti Connect Secure 장치를 즉시 업데이트하라고 촉구했다.
CVE-2026-104935로 등록된 이 취약점은 고위험으로 분류되며, 원격 공격자가 권한 없이 표적 시스템에서 임의의 명령을 실행할 수 있게 한다. 공격에는 사용자 상호작용이 필요하지 않아 인터넷에 노출된 장치에 대한 위험이 커진다.
Ivanti 업데이트 및 관찰된 악용
Ivanti는 화요일에 이 결함을 해결하기 위해 22.8R2.5, 25.1.3.0, 25.1.3.1 및 25.1.1.2 버전을 발표하고 고객에게 즉각적인 조치를 촉구했으며, 실제 환경에서 제한적인 악용이 발생하고 있다고 밝혔다.
Volexity는 UTA0576이라는 이름으로 추적 중인 정체불명의 위협 행위자가 최소 10월 3일부터 이 취약점을 다른 두 취약점과 결합해 인증 우회, 원격 코드 실행 및 권한 상승을 결합한 공격 체인을 구성하기 시작했으며, 최종적으로 인증 없이 루트 권한으로 명령을 실행했다고 밝혔다.
Volexity에 따르면 침해 후 활동은 Local Administrator Password Solution(LAPS) 비밀번호와 BitLocker 복구 키를 비롯한 자격 증명 및 Active Directory 비밀 정보를 표적으로 삼았다. Defused도 10월 1일부터 실제 환경에서 해당 취약점이 악용된 정황을 발견했다고 확인했다.
이 소식이 중요한 이유
Shadowserver는 Ivanti Connect Secure의 지문을 보유한 인터넷 노출 호스트를 5,600대 이상 관찰하고 있지만, 이 수치만으로는 그중 몇 대가 보안이 확보된 장치인지 또는 모니터링용 허니팟 환경인지를 알 수 없다. 따라서 특히 공격자의 명령이 메모리에서 실행될 수 있는 상황에서는 업데이트 설치만으로 침해가 발생하지 않았음을 입증할 수 없다.
CISA는 이 취약점을 실제로 악용되는 취약점 목록에 추가했으며, 의무 운영 지침 BOD 26-04에 따라 연방 행정부 민간 기관에 금요일까지 네트워크를 보호하도록 의무화했다. 또한 모든 보안팀과 네트워크 관리자에게 시스템을 업데이트하고 침해 지표를 확인하라는 별도의 경고를 전달했다.
침해가 의심될 때 해야 할 일
CISA는 Ivanti의 Integrity Checker Tool에만 의존하지 말라고 경고한다. 명령이 메모리에서 실행될 경우 이 도구가 CVE-2026-104935 악용 흔적을 탐지하지 못할 수 있기 때문이다. 해당 기관은 네트워크 및 메모리 포렌식 분석을 수행한 뒤, 침해가 확인되면 다음 단계를 따를 것을 권고한다:
- 장치 구성의 백업을 생성한다.
- 공장 초기화를 수행하고 최신 버전을 설치한다. 클라우드 및 가상 시스템은 재구축하고 업데이트해야 한다.
- 백업에서 구성을 복원한다.
- 도메인 계정, 관리자 계정 및 로컬 계정을 포함한 모든 계정의 비밀번호를 변경한다.
- 저장된 인증서를 폐기하고 재발급하며, API 키와 라이선스 서버 자격 증명도 재설정한다.
이번 사건은 최근 몇 년간 현장에서 악용된 Ivanti Connect Secure 취약점이 이어진 사례다. CISA는 2021년 11월 이후 Ivanti와 관련된 취약점 36개를 실제로 악용되는 취약점 목록에 포함했으며, 이 가운데 12개는 랜섬웨어 공격에도 사용됐다.