Ivanti Connect Secure에서 발생한 CVE-2026-118527 취약점은 활발한 악용 증거가 확인되면서 CISA KEV 카탈로그에 등재되었습니다. 이 취약점을 악용하면 원격의 인증된 공격자가 자신이 제어하는 파일을 디스크 상의 이미 알려진 위치에 업로드할 수 있게 됩니다.
CVE-2026-118527 취약점 개요 및 특성
CVE-2026-118527은 Ivanti Connect Secure 제품에서 발생하는 예측 가능한 숫자 또는 식별자 생성(generation of predictable numbers or identifiers) 취약점입니다. 보안 관리 관점에서 보면, 공격자가 시스템 내부의 식별자 생성 방식을 예측해 비정상적인 파일 조작을 가능하게 한다는 것이 이 취약점의 핵심입니다.
구체적인 동작 방식과 위험성은 다음과 같습니다.
- 공격 주체: 원격의 인증된 공격자(remote authenticated attacker)입니다.
- 공격 동작: 공격자가 제어한 내용을 담은 파일을 디스크 상의 이미 알려진 위치(known location on disk)에 업로드하는 행위가 가능해집니다.
- 위험 요소: 임의의 파일이 서버의 특정 경로에 업로드될 수 있다는 점은 시스템 권한 상승이나 추가 공격 경로 확보로 이어질 가능성이 큽니다.
CISA KEV 등재 및 악용 현황
미국 사이버보안 및 인프라 보안국(CISA)은 2026년 10월 30일에 해당 취약점을 KEV(Known Exploited Vulnerabilities) 카탈로그에 추가하였습니다. CISA는 취약점이 실제 환경에서 ‘활발한 악용(active exploitation)’되고 있다는 증거가 발견됐을 때 KEV에 등재합니다.
CISA는 BOD 26-04 이행 지침을 통해 기관들에 다음과 같은 대응 조치를 요구하고 있습니다.
- 조치 임계값 식별: 해당 취약점이 3일 미만의 조치 임계값(remediation threshold)에 해당하는지 식별하는 것입니다.
- 포렌식 트리아지 수행: 시스템이나 네트워크 인프라가 실제로 영향을 받았는지, 이미 침해되었는지 평가하기 위한 포렌식 트리아지(forensic triage) 필요 여부를 판단하는 것입니다.
영향 받는 버전 및 제품 범위
CISA 알림 기준, CVE-2026-118527 취약점에 영향을 받는 Ivanti Connect Secure의 버전 범위는 아래 표와 같습니다.
| 구분 | 영향 받는 버전 범위 |
|---|---|
| 버전 그룹 1 | 25.1.1.2 이하 |
| 버전 그룹 2 | 25.1.2.2 이하 |
| 버전 그룹 3 | 22.8R2.5 이하 |
보안 관리자는 현재 운영 중인 제품의 버전이 위 범위에 해당하는지부터 점검하고, CISA 권고에 따라 신속한 대응 방안을 세우는 수순입니다.
취약점 체이닝(Chaining) 분석
CVE-2026-118527은 단독으로 작용할 때보다 다른 취약점과 연계되었을 때 더 큰 위협이 될 수 있습니다. 보고된 내용에 따르면 이 취약점은 다음 CVE들과 체이닝(chain)될 수 있습니다.
- CVE-2026-104935: 해당 취약점과 연계되어 공격의 파급력을 높일 수 있습니다.
- CVE-2026-111357: 역시 CVE-2026-118527과 함께 연결되어 복합적인 공격 경로를 형성할 수 있습니다.
취약점 체이닝이란 공격자가 여러 개의 취약점을 순차적으로 이용해 최종적으로 원하는 목적(예: 원격 코드 실행, 완전한 시스템 제어 등)을 달성하는 기법을 말합니다. 그래서 CVE-2026-118527뿐 아니라 함께 언급된 CVE-2026-104935와 CVE-2026-111357까지 통합적인 점검과 패치 관리가 필수적입니다.
운영 관리자를 위한 정보 한계 및 주의사항
본 가이드는 제공된 근거 장부를 바탕으로 작성했습니다. 현재 다음 정보는 확인되지 않았으므로, 구체적인 조치를 취할 때는 제조사의 최신 어드바이저리를 직접 확인하시기 바랍니다.
- CVSS 점수: NVD 레코드가 생성되지 않았거나 제공된 문서 내에 구체적인 CVSS 수치가 명시되지 않아 확인할 수 없습니다.
- 수정 버전(Patch Version): CISA의 영향 범위는 확인되지만, Ivanti 제조사가 공식적으로 제시한 구체적인 수정 버전 번호는 본 문서에 포함되어 있지 않습니다.