[주간 보안 브리핑] VPN 게이트웨이에서 웹셸까지, 이번 주 실제 공격에 쓰인 취약점 8건 (2026년 10월 5주차)

10월 19일 이후 CISA의 알려진 악용 취약점 목록(KEV)에 새로 올라온 항목은 모두 18건입니다. 이 가운데 원격 접속 장비, 웹 애플리케이션, 방화벽, 커널처럼 공격자가 앞문으로 들어오는 데 쓰는 계열만 골라 8건을 정리했습니다. 이 중 오늘(11월 2일)이 조치 기한인 항목이 이미 두 건 있고, 10월 29일과 31일에 기한이 지난 것도 각각 한 건씩입니다. 이번 주의 성격을 한 문장으로 줄이면 외부 경계 장비를 먼저 뚫고, 그 안에서 권한을 올린 뒤, 웹셸을 심어 오래 머무는 사슬입니다. 단일 취약점보다 여러 취약점을 이어 붙이는 조합형 공격이 눈에 띄게 늘었습니다.

가장 위험한 하나: Ivanti Connect Secure의 권한 상승 사슬

이번 주 가장 위험한 것으로 꼽을 항목은 CVE-2026-111357(Ivanti Connect Secure, 중요 기능 인증 누락)입니다. 단독으로만 보면 로컬에서 인증된 공격자가 권한을 올리는 문제라 위험도가 낮아 보이지만, CISA 설명은 이 취약점이 CVE-2026-104935, CVE-2026-118527과 함께 연결되어 악용된다고 명시합니다. 즉 원격 침입 단계에서 이미 들어온 공격자가 관리자 권한까지 올라가는 마지막 턱을 이 취약점이 담당합니다.

왜 위험한지 시나리오로 따라가 보겠습니다. 1단계는 외부에서 VPN 게이트웨이에 접촉해 세션과 파일을 조작하는 것, 2단계는 CVE-2026-118527입니다. 이 취약점은 예측 가능한 식별자가 생성되는 문제(CWE-340)로, 인증된 공격자가 자신이 만든 내용을 디스크의 정해진 위치에 업로드할 수 있게 합니다. 업로드 위치를 공격자가 예측할 수 있다는 것이 핵심입니다. 3단계가 CVE-2026-111357로, 경로 검증과 인가 확인이 빠진 기능을 통해 그 파일이 관리자 권한으로 실행됩니다. VPN은 원래 인터넷에서 내부망으로 들어가는 관문이므로, 여기서 권한 상승이 성공하면 내부에 별도의 침투가 필요 없습니다. 인증 정보 하나를 얻은 공격자가 사실상 네트워크 전체의 열쇠를 얻는 셈입니다. CVE-2026-111357의 조치 기한은 오늘인 2026년 11월 2일, CVE-2026-118527은 11월 13일입니다.

이번 주 추가된 나머지 취약점

같은 유형이 반복되는지 보려고 제품과 패치 기한을 함께 정리했습니다. 기한이 지난 항목은 이미 미국 연방 기관 기준으로 긴급 처리가 필요한 상태입니다.

CWE 유형별로 묶어 보니: 검증을 빠뜨린 코드가 절반

약어부터 풀어 두겠습니다. CWE는 소프트웨어 약점을 유형별로 번호를 붙여 분류한 목록입니다. 같은 번호가 붙은 취약점은 서로 다른 제품이어도 원인과 방어 방법이 비슷합니다. 이번 주 8건을 이 기준으로 묶으면 특징이 분명해집니다.

• 반환값·초기화·포인터를 제대로 다루지 않는 메모리 계열(CWE-252, CWE-690, CWE-456, CWE-416 등): Brotli, Cisco 방화벽, Linux 커널, PHP가 모두 여기 속합니다. 함수가 실패했는지 확인하지 않고 다음 코드를 진행하거나, 메모리를 초기화한 뒤 해제된 영역을 다시 참조하는 문제입니다. 공격자는 입력을 조금씩 비틀어 이 틈을 찾습니다.
• 인증과 인가를 빠뜨린 접근 제어(CWE-306, CWE-862, CWE-345): Ivanti 사슬이 대표적입니다. 기능을 만든 뒤 누가 호출할 수 있는지 확인하지 않는 구현 실수입니다.
• 파일 업로드 제한(CWE-434)과 예측 가능한 식별자(CWE-340): Adobe Commerce와 Ivanti가 해당합니다. 업로드 자체를 막지 않거나, 저장 위치를 공격자가 예측할 수 있으면 업로드가 곧 실행으로 이어집니다.
• 기록의 부재(CWE-778): VMware ESX 건은 공격 기법이 아니라 사후 탐지를 방해하는 유형입니다. 침해를 빨리 알아차리는 것이 이번 주의 주제인 만큼 눈여겨볼 만합니다.

정리하면, 이번 주 절반 이상이 "경계 조건을 확인하지 않은 코드"에서 나왔습니다. 새로운 공격 기법이 아니라 오래된 구현 습관이 반복된 주간이라고 볼 수 있습니다.

한국 조직이라면 특히 볼 제품

네 가지를 짚어 두겠습니다. 첫째, PHP입니다. 국내 웹 서비스와 오픈소스 기반 쇼핑몰·게시판에서 여전히 가장 널리 쓰이고, 이번 건은 인증 없이 원격으로 코드를 실행할 수 있는 유형이며 기한이 이미 지났습니다. 둘째, Adobe Commerce/Magento는 국내 이커머스와 커머스 대행 개발에서 쓰이는 경우가 있습니다. 업로드 취약점은 결제 페이지와 같은 서버에서 실행될 수 있습니다. 셋째, Cisco Secure Firewall ASA/FTD는 대기업과 공공망의 경계 장비로 자주 배치됩니다. 이번 건은 데이터 유출이 아니라 장비 재부팅을 일으키는 서비스 거부 유형이지만, 그 자체로 가용성 사고입니다. 넷째, VMware ESX는 가상화 기반을 운영하는 조직에서 흔히 쓰입니다. 로깅 미비는 단독 침해는 아니지만 사고 조사 때 "언제 무엇을 했는지"를 잃게 만듭니다. VPN 장비인 Ivanti Connect Secure는 국내에도 재택·외부 접속용으로 도입된 사례가 있으니 자산 목록을 확인해 보시기 바랍니다.

경계 장비 안쪽은 한 번 뚫리면 별도 침투 없이 곧바로 내부 자산이 된다 — Abigor, CC BY-SA 3.0 (Wikimedia Commons, Rack of Worldwide LHC Computing Grid)

반론: KEV에 없다고 안전한 것이 아니다

가장 흔한 오해부터 정리합니다. KEV는 "실제로 악용된 사례가 확인된" 취약점만 담는 목록입니다. 악용이 확인되지 않았거나 아직 보고되지 않은 취약점은 위험도가 높아도 올라오지 않습니다. 이번 주 18건은 실제 공격에 쓰인 것들의 목록이지, 지금 위험한 취약점 전체의 목록이 아닙니다. 더불어 이번 선택에서 빠진 다른 10건도 존재합니다. KEV에 없다는 이유로 패치를 미루면, 공격자들이 아직 관찰되지 않은 같은 계열 취약점을 먼저 찾아낼 수 있습니다. 반대로 KEV에 있는데 내 자산에 해당 제품이 아예 없다면, 그 항목에 시간을 쓸 필요는 없습니다. 목록은 위험의 크기가 아니라 "지금 이 순간 공격받고 있다"는 신호로 읽어야 합니다.

또 하나의 반론은 사슬형 취약점을 개별 패치로 나눠 처리하면 사슬이 끊긴다는 기대입니다. 실제로는 한 고리만 남아도 앞 단계가 재개될 수 있으므로, 같은 제품에 함께 공개된 취약점은 묶어서 일괄 패치하는 편이 안전합니다.

오늘 할 수 있는 일

세 가지부터 확인해 보시기 바랍니다.

• PHP 버전 확인: 서버에서 php -v를 실행해 10월 26일 이후 배포된 패치 버전인지 확인합니다. 패키지 관리자를 쓴다면 dpkg -l | grep php 또는 rpm -qa | grep php로 실제 설치본을 봅니다.
• VPN·방화벽 펌웨어 확인: Ivanti Connect Secure는 관리 콘솔의 유지보수 화면에서, Cisco ASA/FTD는 show version으로 현재 릴리스와 벤더 권고의 최신 패치를 대조합니다. 인터넷에 직접 노출된 유지보수 포트가 있는지도 함께 점검합니다.
• 업로드 흔적 점검: Adobe Commerce와 Ivanti 장비에서 최근 생성된 파일 목록과 웹셸 흔적을 봅니다. Magento는 find pub media var -name "*.php" -newermt "2026-10-19"처럼 최근 파일을 확인하는 것으로 시작할 수 있습니다.

여러분의 조직에서 이번 주 목록 중 먼저 손댄 제품이 있다면, 어떤 판단으로 우선순위를 정했는지 댓글로 알려 주시면 좋겠습니다.

참고 자료

• CISA Known Exploited Vulnerabilities Catalog — 2026.10.30 기준 총 1,766건
• CISA 보안 공지 및 BOD 26-04 패치 우선순위 지침
• 각 벤더 보안 권고: Ivanti, Cisco, Adobe, PHP Group, Google, Broadcom, Linux 커널