최근 경계 장비와 권한 검증 체계에서는 인증 우회, 경로 순회, 관리 인터페이스를 통한 루트 권한 탈취 같은 치명적인 취약점이 반복적으로 발생하고, CISA KEV(Known Exploited Vulnerabilities)에 등재되는 등 실제 악용 사례도 잇달아 확인되고 있습니다.
CISA KEV 등재 경계 장비 취약점 분석
기업의 네트워크 최전방을 방어하는 경계 장비의 취약점은 공격자에게 내부망으로 들어가는 최적의 경로를 내주는 셈입니다. 최근 CISA KEV에 등재되어 실제 공격에 이용된 사례들은 단순한 버그가 아닙니다. 시스템 전체의 통제권을 통째로 잃게 만듭니다.
Cisco와 BeyondTrust, Fortinet 같은 주요 벤더의 장비에서 인증 체계의 공백이나 파일 처리 로직의 결함이 잇달아 드러났습니다. Cisco Secure Email Gateway는 비인증 상태에서 임의 파일을 쓸 수 있는 취약점이 확인되었고, CVSS 점수 9.8점에 달하는 매우 위험한 수준으로 평가됩니다.
BeyondTrust Remote Support에서는 내부 메시징 컴포넌트가 수신 메시지의 출처를 충분히 검증하지 않는 바람에 인증 우회 취약점이 생겼습니다. 경계 장비가 수행해야 할 기본 기능인 ‘신원 검증’과 ‘출처 확인’ 프로세스에 심각한 공백이 있다는 뜻입니다.
관리 인터페이스 및 루트 권한 탈취 동향
가장 위험한 시나리오는 관리자 인터페이스의 취약점으로 시스템의 최고 권한인 루트(Root) 권한을 탈취하는 경우입니다. Palo Alto Networks의 PAN-OS에서 발견된 제로데이 취약점들이 대표적인 사례입니다.
- 관리 인터페이스를 통한 권한 상승: PAN-OS 관리 인터페이스에 접속해 로그인을 마친 공격자가 방화벽의 최고 관리자(루트) 권한을 따내는 취약점이 발견되었고, 패치가 배포되었습니다.
- 비인증 원격 코드 실행(RCE): PAN-OS 사용자 인증 포털 서비스에서 버퍼 오버플로우 때문에 인증 없이 원격에서 코드가 실행되는 취약점이 확인되었으며, CVSS 점수는 9.3점에 달합니다.
공격 패턴의 의도는 분명합니다. 일단 관리 인터페이스에 접근한 뒤에는 권한 검증 단계를 무력화해 장비 전체를 완전히 장악하겠다는 것입니다.
경로 순회 및 파일 처리 취약점 사례
경로 순회(Path Traversal) 취약점은 공격자가 의도하지 않은 디렉터리에 접근해 민감한 파일을 읽거나 시스템 파일을 조작하는 수단으로 악용됩니다.
Fortinet의 경우 FortiOS, FortiPAM, FortiProxy, FortiSwitchManager의 CLI에서 경로 순회 취약점(CWE-22)이 발견되었습니다. 이미 CISA KEV에 등재되어 실제 악용 사례까지 확인된 상태라 이 제품군을 쓰는 운영자의 즉각적인 조치가 필요합니다.
이런 파일 처리 결함은 다른 소프트웨어 환경에서도 잇달아 관찰되고 있습니다.
- Shiny for Python: 북마크 복원 기능에서 경로 순회 취약점(CVE-2026-108258)이 발견됐고, 1.6.4 버전에서 수정되었습니다.
- Contao: ImagesController의 경로 순회 취약점(CVE-2026-107844)으로 프로젝트 디렉터리의 이미지 파일이 노출될 가능성이 확인되었습니다.
주요 벤더별 취약점 및 대응 현황 요약
최근 보고된 주요 경계 및 관리 장비의 취약점 현황을 표로 정리했습니다.
| 벤더/제품 | 취약점 ID | 취약점 유형 | 특이사항 및 영향 범위 |
|---|---|---|---|
| Cisco Secure Email Gateway | CVE-2026-76519 | 비인증 임의 파일 쓰기 | CVSS 9.8, CISA KEV 등재 |
| Palo Alto PAN-OS | CVE-2026-0322 | 인증 후 RCE / 루트 권한 탈취 | 관리 인터페이스 대상 제로데이 |
| Fortinet CLI | CVE-2025-61624 | 경로 순회 (Path Traversal) | FortiOS, FortiPAM 등 포함, CISA KEV 등재 |
| BeyondTrust Remote Support | CVE-2026-102764 | 인증 우회 | 출처 검증 미흡, CISA KEV 등재 |
| AnyDesk Linux | CVE-2026-109390 | 사전 승인 원격 코드 실행 | 8.0.0 이상 8.0.3 미만 버전 영향 |
기타 권한 검증 및 로컬 권한 상승 이슈
경계 장비 외에도 애플리케이션과 라이브러리 수준에서 권한 검증 공백으로 인한 취약점이 끊이지 않고 있습니다.
세션 및 토큰 관리 결함
- Arcane: 위임된 권한과 환경 토큰을 우회하는 결함(CVE-2026-96627)이 발견됐고, 2.6.0 버전에서 패치되었습니다.
- Vikunja: WebSocket 연결 시 삭제된 세션 토큰이 계속 살아 있는 세션 폐기 우회 문제가 발생했습니다.
- Apache Kylin: 5.0.5 버전에서 인증 결함(CVE-2026-68573)이 확인됐고 보안 업데이트가 나왔습니다.
로컬 권한 상승 및 코드 실행
- EA Javelin Anticheat: 독립 설치 관리자에서 로컬 권한 상승 취약점(CVE-2026-96542)이 확인되었습니다.
- Metalama: 공용 임시 디렉터리 내 DLL 플랜팅으로 로컬 코드를 실행하는 취약점(CVE-2026-62847)이 발견되었습니다.
이런 트렌드를 분석해 보면 보안 운영자와 인프라 관리자의 우선순위는 명확합니다. 특히 CISA KEV에 등재된 취약점부터 최우선 패치 대상입니다. 단순한 버전 업데이트에 그치지 않고, 관리 인터페이스 접근 제어 강화와 세션 관리 체계의 전면적인 재검토까지 필요합니다.