이반티(Ivanti)는 2026년 10월 초부터 시작된 연쇄 공격에 악용된 사실이 드러난 후, 원격 접속 게이트웨이(Connect Secure - ICS)의 새로운 '제로 데이(Zero-day)' 취약점 2종을 해결하기 위해 긴급 보안 업데이트를 발표했다. 이번 조치는 공격자들이 기업 네트워크에 대한 깊은 제어 권한을 얻기 위해 악용한 취약점을 차단하려는 회사의 노력의 일환이다.
취약점 상세 정보 및 연쇄 악용 메커니즘
첫 번째 취약점인 CVE-2026-111357은 권한 상승(Privilege Escalation)을 허용하는 고위험 결함이며, 두 번째 취약점인 CVE-2026-118527은 인증된 공격자가 업데이트되지 않은 장치에 악성 파일을 업로드할 수 있게 한다. 공격자들은 이 두 취약점을 지난달 이반티가 수정한 인증 우회 취약점(CVE-2026-104935)과 연결하여 사용했다.
회사는 처음에 인증 우회 취약점이 주요 공격 경로였기 때문에 이를 해결하는 데 집중하기로 결정했으나, 나중에 공격자들이 시스템 내부에 거점을 마련하기 위해 다른 취약점들을 사용하고 있다는 사실을 발견했다고 설명했다. 이반티는 이러한 연쇄 작용을 통해 공격자들이 기업이 완전히 보호되고 있다고 믿었던 장치에서도 '루트 레벨(Root-level)'의 코드 명령을 실행할 수 있었다고 확인했다.
공격자 행동 및 은폐 기술
이번 공격을 탐지한 사이버 보안 기업 '볼렉시티(Volexity)'는 UTA0576으로 알려진 위협 주체가 이 작업의 배후에 있다고 밝혔다. 이 공격의 특징은 공격자들이 전통적인 악성 소프트웨어나 웹 셸(Web Shells)을 심는 방식에 의존하지 않고, 명령을 실행할 때마다 취약점을 재악용하면서 시스템 로그를 조작해 흔적을 지우고 이반티의 무결성 검사 도구에 의한 탐지를 피했다는 점이다.
보안 인텔리전스 기업 '디퓨즈드(Defused)' 또한 이러한 결과를 확인하며, 실제 악용의 첫 징후가 10월 1일에 시작되었다고 언급했다. 이는 민감한 인프라에서 새로 발견된 취약점에 대한 공격자들의 빠른 대응 속도를 반영한다.
공식 경고 및 글로벌 확산
상황의 심각성을 고려하여 미국 사이버보안 및 인프라 보안국(CISA)은 주요 취약점을 '알려진 악용된 취약점 카탈로그'에 추가하고 연방 기관에 즉시 시스템을 업데이트할 것을 명령했다. '섀도우서버(Shadowserver)' 관측소의 데이터에 따르면 인터넷에 노출된 ICS 장치가 5,000대 이상인 것으로 나타났으며, 현재까지 실제로 보안 조치가 완료된 장치의 수는 명확하지 않다.
이 소식이 매우 중요한 이유는 무엇인가?
이반티의 원격 접속 게이트웨이는 민감한 데이터를 훔치기 위해 대기업 네트워크에 직접적인 진입로를 제공하기 때문에, 특히 국가와 연계된 사이버 스파이 그룹이 선호하는 목표물이다. 여기서 실질적으로 변화된 점은 공격자들이 '파일리스 공격(Fileless attacks)'을 통해 은폐 능력이 더욱 향상되어 전통적인 검사 도구에만 의존하는 것이 불충분해졌다는 것이다. 시스템 관리자는 업데이트를 설치할 뿐만 아니라 10월 초까지 거슬러 올라가 비정상적인 활동이 있는지 접속 로그를 검토해야 한다. 업데이트는 취약점을 해결하지만, 이미 시스템 침투에 성공하여 다른 방식으로 거점을 확보한 공격자를 쫓아내지는 못하기 때문이다.