FortiSandbox 버전은 관리 웹 콘솔의 대시보드나 CLI에서 ‘execute version’ 명령어로 확인하십시오. 영향 범위인 4.2.x, 4.4.0~4.4.8, 5.0.0~5.0.5 버전은 즉시 패치해야 합니다. 당장 패치가 어렵다면 관리 인터페이스의 인터넷 접속을 완전히 차단하고 허용 IP 대역을 엄격히 제한하십시오. VPN이나 보안 점프 호스트를 통한 접근만 허용하는 임시 완화 조치가 필요합니다.
CVE-2026-25089 취약점의 기술적 분석 및 위험성
2026년 6월 9일 공개된 CVE-2026-25089는 Fortinet FortiSandbox 제품군에서 발생하는 심각한 OS 명령어 삽입(OS Command Injection) 취약점입니다. 공격자가 인증 없이 조작된 HTTP 요청을 보내 시스템 루트 권한으로 임의 명령어를 실행하는 것이 핵심입니다. 외부 네트워크에서 관리 인터페이스에 접근할 수 있다면 시스템 전체 제어권을 공격자에게 넘겨줄 만큼 치명적입니다.
취약점 심각도를 나타내는 CVSS 점수는 Tenable 기준 9.8점으로 ‘CRITICAL’ 등급이며, 일부 소스에서는 9.1점으로 보고될 만큼 위험 수준이 높습니다. 미국 사이버 보안 및 인프라 보안국(CISA)은 이 취약점을 ‘공격에 이용 중인 취약점 카탈로그(KEV)’에 공식 등재했습니다. 이에 미국 연방기관들은 2026년 7월 19일까지 모든 조치를 완료하도록 권고받았습니다. 이론적 위험을 넘어 실제 환경에서 활발히 공격에 이용되고 있다는 의미입니다.
실제로 Defused의 추적 결과, 취약점이 공개된 직후인 2026년 6월 말부터 7월 초 사이 이미 적극적인 악용 사례가 관찰되었습니다. GitHub 등 오픈 소스 플랫폼에 개념 증명(PoC) 및 상세 분석 코드가 공유되면서, 낮은 기술력의 공격자도 쉽게 시스템을 공격할 수 있는 환경이 만들어졌습니다. Hacker News 보안 커뮤니티에서도 많은 관리자가 제어 평면을 급히 격리하고 패치를 강화했다는 보고가 잇따랐습니다.
CVE-2026-25089 완화 조치 및 패치 방법: 대상 버전 확인
보안 담당자는 운영 중인 FortiSandbox 장비가 취약점 영향 범위에 포함되는지 먼저 판별해야 합니다. 버전 확인은 웹 콘솔과 CLI(명령줄 인터페이스) 두 가지 방법으로 가능합니다. 웹 관리 콘솔의 대시보드 메인 화면이나 시스템 정보 메뉴에서 펌웨어 버전을 확인하십시오. CLI 환경에서는 ‘execute version’ 또는 ‘get system status’ 명령어로 정확한 빌드 번호와 버전을 식별합니다.
이번 CVE-2026-25089 취약점은 온프레미스 장비뿐만 아니라 클라우드 및 PaaS 환경까지 광범위하게 영향을 미칩니다. 4.2.x 버전 전체, 4.4.0~4.4.8 버전, 그리고 5.0.0~5.0.5 버전이 모두 대상입니다. 특히 클라우드 및 PaaS 서비스 이용자 중 5.0.4~5.0.5 버전을 사용 중이라면 즉시 업데이트 상태를 점검하십시오.
| 제품 구분 | 영향을 받는 버전 범위 | 위험 등급 (CVSS) | 조치 기한 (미 연방기관 기준) |
|---|---|---|---|
| FortiSandbox (On-Premise) | 4.2.x 전 버전, 4.4.0~4.4.8, 5.0.0~5.0.5 | 9.8 (Critical) | 2026년 7월 19일 |
| FortiSandbox Cloud | 5.0.4~5.0.5 | 9.8 (Critical) | 2026년 7월 19일 |
| FortiSandbox PaaS | 5.0.4~5.0.5 | 9.8 (Critical) | 2026년 7월 19일 |
공식 패치 적용 절차 및 시스템 최적화 가이드
Fortinet은 취약점이 공개된 2026년 6월 9일에 맞춰 공식 보안 패치를 배포했습니다. 보안 담당자는 Fortinet 고객 포털(Fortinet Support) 또는 FortiGuard 사이트에서 장비 모델과 버전에 맞는 최신 펌웨어를 다운로드하십시오. 패치 전에는 시스템 설정값과 데이터를 반드시 백업해 업데이트 도중 발생할 수 있는 장애나 데이터 손실에 대비해야 합니다.
공식 패치 적용 단계는 다음과 같습니다.
- Fortinet Support 포털에 접속해 인증 후 최신 보안 패치 파일을 다운로드한다.
- 가동 중단 시간을 줄이기 위해 서비스 영향이 적은 유지보수 창(Maintenance Window)을 설정한다.
- 관리 콘솔에서 시스템 설정을 백업하고, 펌웨어 업데이트 메뉴에서 파일을 업로드한다.
- 재부팅 후 ‘execute version’ 명령어로 업데이트 버전이 정상 반영되었는지 확인한다.
- 관리 인터페이스 접속 및 샌드박싱 분석 기능의 정상 작동 여부를 테스트한다.
패치 후에는 보안 설정을 최적화해 잠재 위협을 줄여야 합니다. 이번 취약점이 HTTP 요청을 이용한 명령어 삽입이라는 점을 고려하면, 단순 패치를 넘어 관리 평면(Management Plane)과 데이터 평면(Data Plane)을 엄격히 분리하는 네트워크 아키텍처 재설계가 필요합니다.
즉시 패치가 불가능한 상황에서의 임시 완화 조치
운영 환경 특성상 즉각적인 재부팅이나 업데이트가 어렵다면, 공격 경로를 차단하는 임시 조치를 즉시 취하십시오. 가장 우선적인 조치는 FortiSandbox 웹 관리 인터페이스의 외부 인터넷 접속을 완전히 차단하는 것입니다. 공개 인터넷망에서 관리 포트 접근이 가능하면 공격자가 PoC 코드로 단 몇 초 만에 시스템 권한을 획득하기 때문입니다.
구체적인 네트워크 보안 강화 방안은 다음과 같습니다.
- 관리 콘솔 접근 제어: 웹 관리 인터페이스 접속 가능 IP 대역을 신뢰할 수 있는 내부망이나 특정 관리자 IP로 엄격히 제한한다.
- 접근 경로의 격리: 관리 콘솔 접근 시 일반 네트워크가 아닌 VPN(Virtual Private Network) 연결을 필수로 하며, 보안 점프 호스트(Jump Host)를 경유하도록 구성한다.
- 계정 보안 강화: 불필요한 관리자 계정을 삭제하고, 모든 관리 계정에 다중 인증(MFA)을 설정해 계정 탈취 위험을 막는다.
- 네트워크 분리: FortiSandbox를 일반 업무 네트워크와 완전히 분리된 별도의 관리 전용 네트워크(Out-of-Band Management)에서 운용한다.
- 방화벽 및 IDS/IPS 규칙 적용: 관련 포트 및 URL에 방화벽 규칙을 적용해 외부 접속을 차단하고, IDS/IPS 규칙을 업데이트해 조작된 HTTP 요청 패턴을 탐지하고 차단한다.
- 로그 모니터링 강화: 웹 서버 및 시스템 로그를 실시간 모니터링하여 비정상적인 명령어 실행이나 알 수 없는 IP의 반복적인 접근 시도를 추적한다.
이러한 조치는 임시 방편일 뿐, 근본적인 해결책은 공식 패치 적용입니다. 완화 조치 후에도 최대한 빨리 유지보수 일정을 잡아 패치를 완료하십시오.
결론 및 보안 운영 권고 사항
CVE-2026-25089는 인증 없이 루트 권한을 획득할 수 있는 치명적인 결함입니다. 이미 실제 공격에 이용 중이며 PoC 코드까지 공개된 상태입니다. 보안 담당자는 즉시 FortiSandbox 버전을 확인해 영향 범위(4.2.x, 4.4.0~4.4.8, 5.0.0~5.0.5) 포함 여부를 점검하고, 2026년 6월 9일 배포된 공식 패치를 적용하십시오. 즉시 패치가 어렵다면 관리 인터페이스의 인터넷 접속 차단과 VPN 기반 접근 제어라는 강력한 완화 조치를 우선 시행해야 합니다.
기업 핵심 자산을 보호하는 샌드박스 장비가 공격의 진입점이 되지 않도록 시스템 버전을 확인하고 최신 보안 업데이트를 적용하시기 바랍니다. 기술 지원이나 패치 과정의 이슈는 Fortinet 공식 기술지원 센터를 통해 신속히 해결하시길 권고합니다.