Ivanti Connect Secure에서 발견된 CVE-2026-104935 취약점이 CISA KEV에 등재되었습니다. 이는 해당 취약점이 이론적인 위험을 넘어 공격자들이 실제 환경에서 악용(in-the-wild)하고 있음이 공식적으로 확인되었다는 뜻입니다. 보안 담당자는 이 취약점을 단순한 취약점 발견이 아니라 실제 위협이 진행 중인 상황으로 인식하고, 즉각적인 대응 체계를 점검해야 합니다.
CVE-2026-104935 취약점 개요 및 영향
CVE-2026-104935는 Ivanti Connect Secure 제품에서 확인된 스푸핑(spoofing) 기반의 인증 우회 취약점입니다. 핵심은 인증 절차를 정상적으로 거치지 않고도 공격자가 권한을 획득할 수 있다는 점입니다.
취약점의 기술적 특성 및 공격 조건
이 취약점에는 원격의 인증되지 않은 공격자가 영향을 줄 수 있습니다. 공격자는 네트워크 내부의 정당한 사용자인 것처럼 속이는 스푸핑 기법으로 인증 과정을 우회하며, 최종적으로는 원격에서 임의의 명령을 실행(Arbitrary Command Execution)할 수 있는 심각한 권한을 얻게 됩니다.
영향 대상 및 관리 현황
현재 확인된 영향 대상 제품은 Ivanti Connect Secure 한 가지입니다. 본 취약점의 레코드는 ‘PUBLISHED’ 상태이며, 발행 주체(assignerShortName)는 벤더사인 Ivanti입니다. Ivanti는 CNA(CVE Numbering Authority)로서 자사 제품의 취약점을 직접 발행하고 공개하면서 신속한 대응을 유도하고 있습니다.
취약점의 주요 상세 내용은 다음과 같습니다.
| 구분 | 상세 내용 |
|---|---|
| 취약점 식별자 | CVE-2026-104935 |
| 취약점 유형 | 스푸핑 기반 인증 우회 |
| 영향 제품 | Ivanti Connect Secure |
| 공격 가능 조건 | 원격의 인증되지 않은 공격자 |
| 잠재적 피해 | 임의 명령 실행 가능 |
| 레코드 상태 | PUBLISHED (발행처: Ivanti) |
CISA KEV 등재 의미와 실제 악용 현황
CISA(미국 사이버보안 및 인프라 보안국)의 KEV(Known Exploited Vulnerabilities) 카탈로그는 심각도가 높다고 해서 오르는 목록이 아닙니다. 실제로 공격에 이용된 사례가 확인된 취약점만을 엄격하게 관리하는 목록입니다. CVE-2026-104935가 이 목록에 이름을 올렸다는 사실이 주는 보안상의 시사점은 다음과 같습니다.
- 실제 악용 확인 (In-the-wild Exploitation): 해당 취약점은 이미 실제 공격 환경에서 악용된 사례가 확인된 것으로 분류되었습니다. 공격자가 취약점을 이용하는 방법을 이미 알고 있고, 그것으로 공격을 수행하고 있다는 명백한 신호입니다.
- 공격의 비대칭성: 현재 조사 범위 안에서 공개된 PoC(Proof of Concept)나 독립적인 상세 기술 분석 보고서는 확인되지 않았습니다. 그럼에도 KEV 등재 사실은 공개된 기술 문서가 없는 상태에서도 이미 은밀하게 공격이 이루어지고 있음을 알려줍니다. 그만큼 보안 관리자는 공개 정보의 유무와 관계없이 위험성을 높게 평가할 수밖에 없습니다.
- 우선순위 격상: 일반적인 취약점 패치 주기보다 훨씬 빠르게 대응해야 하는 ‘긴급’ 수준의 위협으로 간주됩니다. KEV에 오른 취약점은 공격자가 이미 도구를 갖추고 있다는 뜻이고, 패치되지 않은 시스템은 즉각적인 공격 대상이 될 가능성이 높습니다.
대응 방안 및 공식 권고 확인 필요성
Ivanti Connect Secure를 운영 중인 기업의 보안 담당자와 인프라 관리자라면 CVE-2026-104935의 위험성을 인지한 뒤 다음과 같은 단계적 대응을 검토해야 합니다.
1. 영향 범위 재확인
현재 운영 중인 Ivanti Connect Secure 장비의 리스트를 파악하고, 외부망에서 접근 가능한 인터페이스가 있는지 확인하십시오. 원격의 인증되지 않은 공격자가 접근할 수 있는 환경이라면 공격 가능성이 큽니다.
2. 벤더 공식 패치 및 권고안 적용
Ivanti가 CNA로서 취약점 레코드를 공식 발행(PUBLISHED)한 상태이므로, 벤더에서 제공하는 최신 보안 업데이트와 공식 권고안을 즉시 확인해 적용하십시오. 인증 우회에 임의 명령 실행까지 가능한 취약점인 만큼, 패치 적용 전까지 임시 완화 조치(Mitigation)가 있는지 확인하는 것도 중요합니다.
3. 침해 지표(IoC) 모니터링
상세 기술 분석 보고서나 PoC가 공개되지 않은 상태에서 실제 악용이 확인된 만큼, 일반적인 패턴 기반 탐지보다는 비정상적인 인증 시도나 예상치 못한 명령 실행 로그 같은 이상 징후를 면밀히 모니터링하는 분석적 접근이 필요합니다.
CVE-2026-104935는 스푸핑으로 인증을 우회하는 치명적인 경로를 제공하는 취약점이며, CISA KEV 등재로 그 위험성이 실증되었습니다. 공개된 기술 정보가 부족하다고 안주할 상황이 아닙니다. 관리자는 벤더의 공식 가이드를 바탕으로 신속하게 보안 조치를 완료해야 합니다.