CVE-2026-111357은 권한 상승 취약점 하나로 끝나는 문제가 아닙니다. 인증 우회 및 원격 코드 실행(RCE) 취약점과 결합하면 외부 공격자가 아무런 인증 없이도 시스템 최고 권한인 root 수준의 코드 실행에까지 이르게 됩니다. 이 취약점이 ‘취약점 체인’의 핵심 고리로 작용한다는 점에서 특히 위험합니다.
CVE-2026-111357 취약점 개요 및 기술적 분석
Ivanti Connect Secure(ICS)에서 발견된 CVE-2026-111357은 핵심 기능에 대한 인증이 누락된(missing authentication for critical function) 취약점입니다. 핵심은 로컬 인증을 거친 공격자가 시스템 안에서 자신의 권한을 끌어올릴 수 있다는 점입니다.
기술적으로 들여다보면, 특정 버전의 ICS 장비 내 dsinvoked 브로커가 DSCache 구성 데이터를 신뢰하는 방식을 잘못 처리하면서 문제가 생깁니다. 공격자가 이 처리 과정의 오류를 악용하면 결국 root 권한을 획득하는 권한 상승으로 이어집니다.
영향을 받는 주요 버전과 비영향 버전은 아래와 같습니다.
| 구분 | 해당 버전 / 비영향 버전 | 특이사항 |
|---|---|---|
| 영향 버전 | 22.8R2.4 | dsinvoked 브로커의 DSCache 데이터 처리 오류로 root 권한 상승 발생 |
| 비영향 버전 | 22.7R2.14 이하, 22.8R2.5, 25.1.3.0, 25.1.3.1 | CVE-2026-104935 기준 비영향 버전 |
제로데이 익스플로잇 체인: 인증 우회에서 root 권한 상승까지
보안 담당자가 주목할 대목은 따로 있습니다. CVE-2026-111357은 단독으로 쓰이기보다 다른 취약점들과 결합해 공격자의 침투 경로를 완성하는 데 쓰입니다. Volexity 분석에 따르면 2026년 10월 첫째 주, 알려지지 않은 위협 행위자인 UTA0576이 당시 완전 패치 상태였던 22.8R2.4 버전의 ICS VPN 장비를 제로데이 익스플로잇 체인으로 침해했습니다.
공격 체인은 다음 단계로 이어지며, 인증 없는 root 수준의 코드 실행으로 끝을 봅니다.
- 인증 우회 및 원격 코드 실행(RCE): CVE-2026-104935 취약점을 이용해 외부에서 인증 없이 시스템에 접근한 뒤 코드를 실행합니다.
- 권한 상승: 앞선 단계에서 확보한 낮은 권한의 실행 상태에서 CVE-2026-111357 및 CVE-2026-118527 취약점을 결합해 시스템의 최고 권한인 root 권한을 획득합니다.
공격자는 ‘인증 우회 $\rightarrow$ RCE $\rightarrow$ 권한 상승’ 체인 하나로 외부에서 내부의 root 권한까지 한 번에 도달하는 치명적인 공격 경로를 구축한 셈입니다.
침해 후 활동 및 표적 자산 분석
최고 권한을 획득한 위협 행위자 UTA0576은 단순한 시스템 점유에 그치지 않고 기업의 핵심 자격 증명을 탈취하는 침해 후 활동을 이어갔습니다. Volexity가 확인한 결과를 보면 이들의 주 표적은 Active Directory(AD) 안의 자격 증명과 시크릿이었습니다.
특히 표적이 된 민감한 데이터는 다음과 같습니다.
- Active Directory 자격 증명 및 시크릿
- LAPS(Local Administrator Password Solution) 암호
- BitLocker 복구 키
VPN 장비의 취약점이 네트워크 진입점을 여는 데 머물지 않고, 내부망 전체의 관리자 권한을 장악하기 위한 징검다리로 활용되었음을 시사하는 대목입니다.
대응 방안 및 패치 적용 권고
이번 익스플로잇 체인의 가장 위험한 특징 중 하나는 탐지가 어렵다는 점입니다. 공격자는 라이브러리 코드를 메모리상에서만 패치하고 구성 저장소 데이터를 복원하는 방식을 썼습니다. 그 탓에 일반적인 조사 도구로는 어떤 변조 흔적도 잡지 못했고, 실제 악용 증거를 확인하려면 정밀한 포렌식 조사가 필수입니다.
지금 즉시 점검할 조치는 아래와 같습니다.
- 최신 패치 적용: Ivanti는 2026년 10월 29일에 CVE-2026-111357 취약점에 대한 패치를 공개했습니다. 운영 중인 모든 ICS 장비의 버전을 확인하고 즉시 업데이트를 수행하십시오.
- 포렌식 기반 침해 사고 조사: 일반적인 무결성 검사 도구로는 탐지가 어렵다는 점을 감안해, 메모리 분석과 정밀 포렌식으로 UTA0576 같은 위협 행위자의 침입 흔적이 있는지 점검합니다.
- 자격 증명 재설정: AD 자격 증명, LAPS 암호, BitLocker 복구 키 등이 표적이 됐으므로, 침해 가능성이 있는 환경이라면 주요 관리자 계정의 암호를 변경하고 복구 키를 재발급하는 것을 권고합니다.