AnyDesk Linux 버전에서 보고된 CVE-2026-109390 취약점은 인증되지 않은 원격 공격자가 힙 기반 버퍼 오버플로를 이용해 피해자의 사전 승인 없이 root 권한으로 임의 코드를 실행하는 치명적인 보안 결함입니다.
CVE-2026-109390 취약점 개요
시스템 관리자와 보안 담당자가 가장 먼저 할 일은 Linux 환경에서 운영 중인 AnyDesk 소프트웨어의 버전 점검입니다. 최근 보고된 CVE-2026-109390 취약점이 원격 지원 인프라의 핵심 보안 모델인 ‘사용자 승인’ 단계를 완전히 우회하는 경로를 제공하기 때문입니다.
원격 제어 소프트웨어는 일반적으로 연결 요청 시 사용자의 명시적인 승인을 거쳐 세션을 연결합니다. 그런데 이 취약점을 악용하면 공격자는 인증되지 않은(unauthenticated) 상태에서 대상 시스템에 접근해 임의의 명령을 실행합니다. 특히 Linux 환경에서는 공격 결과가 root 권한 획득으로 이어진다는 점이 실제로 시연되었습니다. 시스템 전체의 제어권이 통째로 넘어가는 매우 위험한 상태입니다.
기술적 분석 및 공격 경로
이 취약점의 근본 원인은 AnyDesk 세션 프로토콜 내부의 데이터 처리 방식에 있습니다. 기술적인 내용을 순서대로 짚어보겠습니다.
1. 취약점 발생 메커니즘
공격 경로는 AnyDesk 세션 프로토콜의 mode-5 스트림 패킷 핸들러입니다. 이 핸들러는 원격지에서 전달된 payload의 길이를 별도의 검증 과정 없이 그대로 신뢰하는 결함이 있습니다.
2. 정수 오버플로와 버퍼 오버플로의 연쇄 작용
패킷 처리 과정에서 다음 순서로 취약점이 활성화됩니다.
- 원격 공격자가 조작된 payload 길이를 전송합니다.
- 시스템은 이 길이에 16바이트의 객체 헤더를 더합니다.
- 이때 32비트 연산이 쓰이면서 정수 오버플로(Integer Overflow)가 발생합니다.
- 정수 오버플로로 실제 필요한 메모리보다 작은 공간이 할당됩니다. 이후 데이터를 기록하면서 힙 기반 버퍼 오버플로(Heap-based Buffer Overflow)가 터집니다.
3. 최종 공격 결과
이런 메모리 오염으로 공격자는 임의 코드 실행(Arbitrary Code Execution) 권한을 얻고, 피해자의 승인 없이 root 권한으로 명령을 실행하게 됩니다.
영향 범위 및 재현 가능성
이 취약점은 특정 버전 범위 내의 AnyDesk Linux 설치본에 영향을 미칩니다. 보안 담당자는 아래 표를 보고 운영 중인 인프라의 영향 여부를 바로 확인하면 됩니다.
| 항목 | 상세 내용 |
|---|---|
| 취약점 식별자 | CVE-2026-109390 |
| 영향 받는 소프트웨어 | AnyDesk Linux |
| 취약 버전 범위 | 8.0.0 이상 8.0.3 미만 |
| 공격 유형 | 인증되지 않은 원격 코드 실행 (RCE) |
| 최종 권한 | root 권한 |
PoC를 통한 위험성 입증
이 취약점은 이론적인 가능성에 그치지 않고 실제로 재현 가능성이 입증되었습니다. V12 Security의 AnyPwn PoC(Proof of Concept) 저장소에는 ‘AnyPwn is a pre-approval remote code execution vulnerability in AnyDesk Linux 8.0.2’라고 명시되어 있으며, 특히 8.0.2 버전의 취약점을 구체적으로 증명했습니다. 공개된 PoC를 활용해 공격자가 매우 신속하게 공격을 수행할 수 있음을 보여줍니다.
대응 방안 및 업데이트 권고
CVE-2026-109390 취약점은 단순한 설정 변경이나 방화벽 차단만으로는 근본적인 해결이 불가능합니다. 취약점의 원인 자체가 바이너리 수준의 패킷 핸들러 검증 부재이기 때문입니다.
1. 최우선 조치: 소프트웨어 업데이트
영향 범위에 해당하는 AnyDesk Linux 8.0.0 이상 8.0.3 미만 버전의 모든 설치본은 즉시 최신 버전 업데이트가 필요합니다.
- 권고 버전: AnyDesk Linux 8.0.3 이상
2. 관리자 점검 리스트
시스템 관리자는 다음 절차를 따라 인프라를 점검하면 됩니다.
- 버전 전수 조사: 서버와 워크스테이션에 설치된 AnyDesk의 정확한 버전을 확인합니다.
- 업데이트 적용: 8.0.3 미만 버전이 확인되면 즉시 8.0.3 이상의 버전으로 업그레이드합니다.
- 이상 징후 감시: 사용자가 승인하지 않은 시점에 AnyDesk 자식 프로세스가 생성되거나 root 권한의 명령이 실행되는지 감시합니다.
이 취약점은 공격자가 사용자의 개입 없이 시스템의 최고 권한을 획득한다는 점에서 매우 심각합니다. 관리자는 지체 없이 업데이트를 수행해 원격 지원 인프라의 보안 공백을 메우길 바랍니다.