BeyondTrust Remote Support의 CVE-2026-102764는 내부 메시징 컴포넌트의 메시지 출처 검증 미흡으로 발생한 인증 우회 취약점입니다. 원격 공격자가 어플라이언스에서 파일 작업을 수행해 최종적으로 root 권한까지 획득할 수 있어 위험도가 매우 높습니다.
CVE-2026-102764 취약점 개요 및 영향 범위
BeyondTrust Remote Support 제품에서 확인된 CVE-2026-102764 취약점은 제품 내부의 메시징 컴포넌트가 수신 메시지의 출처를 충분히 검증하지 않는 구조적 결함에서 비롯되었습니다. CISA(미국 사이버 보안 및 인프라 보안국)는 이 취약점을 스푸핑(Spoofing)을 통한 인증 우회로 분류하고 있습니다.
이 취약점의 핵심은 적절한 인증 절차 없이 공격자가 시스템에 접근해 권한이 없는 파일 작업을 수행할 수 있다는 점입니다. 영향 범위도 넓어서 Remote Support 26.2.3 이하(≤26.2.3) 버전의 모든 제품이 이 취약점에 노출된 것으로 분석됐습니다.
취약점의 상세 영향 범위는 다음과 같습니다.
| 항목 | 상세 내용 |
|---|---|
| 취약점 식별자 | CVE-2026-102764 |
| 취약점 유형 | 스푸핑에 의한 인증 우회 (Authentication Bypass by Spoofing) |
| 영향 버전 | Remote Support 26.2.3 이하 (≤26.2.3) |
| 위험 수준 | CISA KEV 등재 및 실제 악용 확인 |
CISA KEV 등재 및 실제 악용 분석
CVE-2026-102764는 이론적인 취약점에 그치지 않고 실제 공격에 활용된 사례가 확인되었습니다. 이 취약점은 CISA의 ‘알려진 악용 취약점 카탈로그(Known Exploited Vulnerabilities Catalog, KEV)’에 정식 등재되었습니다. KEV 등재는 공격자들이 실제 환경에서 이 취약점을 악용하고 있으며 즉각적인 대응이 필요하다는 뜻의 강력한 경고 지표입니다.
원격 공격자는 이 취약점으로 인증을 우회한 뒤, 어플라이언스 내에서 임의의 파일 작업을 수행하게 됩니다. 이는 단순한 정보 유출을 넘어 시스템 제어권 획득의 전초 단계가 됩니다.
공격 그룹(Armory Castle)의 침투 및 권한 상승 경로
분석 결과, 중국 연계 의심 조직으로 알려진 ‘Armory Castle'(UNC5221 또는 Warp Panda라고도 불림)이 8월 말부터 이 취약점을 제로데이 공격에 이용한 것으로 드러났습니다. Mandiant와 Google Threat Intelligence Group의 연구원들이 이 조직의 공격 패턴을 관찰하고 분석했습니다.
공격 과정은 다음 단계로 진행되었습니다.
- 최초 침투 및 인증 우회: CVE-2026-102764 취약점을 악용해 인증 절차를 무력화하고 시스템에 최초 접근합니다.
- 권한 상승: 인증 우회 후 파일 작업을 수행하며, 특히 Set User ID(SUID) 권한을 활성화하는 방식으로 최종적으로 root 권한까지 상승합니다.
- 지속성 확보 및 도구 배포: root 권한 획득 후 악성 웹셸인 ‘Sawfly’와 네트워크 확장을 위한 도구인 ‘Bareclaw’를 배포해 시스템 내 지배력을 강화합니다.
- 흔적 제거: 공격 사실을 은폐하고 탐지 가능성을 낮추기 위해 시스템 로그를 삭제했습니다.
보안 담당자를 위한 대응 방안 및 권고 조치
이 취약점은 이미 실제 공격에 이용되고 있으며, root 권한 상승으로 이어지는 치명적인 경로입니다. BeyondTrust Remote Support를 운영 중인 기업의 보안 담당자와 인프라 관리자는 다음과 같은 조치를 즉시 검토해야 합니다.
- 버전 확인 및 업데이트: 현재 운영 중인 Remote Support의 버전이 26.2.3 이하인지 즉시 확인하십시오. 이하 버전은 취약점에 노출되어 있으므로, 벤더의 최신 보안 업데이트를 적용해 취약점을 제거하십시오.
- 침해 지표(IoC) 점검: Armory Castle 조직이 사용한 Sawfly 웹셸이나 Bareclaw 도구의 흔적이 있는지 시스템 내 파일을 전수 조사하십시오.
- 로그 분석: 공격자가 로그를 삭제한 정황이 확인된 만큼, 로그가 비정상적으로 끊기거나 삭제된 기록, 평소와 다른 SUID 권한 변경 시도가 있었는지 면밀히 분석하십시오.
- 접근 제어 강화: 외부에서 어플라이언스로 접근하는 경로에는 최소 권한 원칙을 적용하고, 불필요한 외부 노출을 제한하는 네트워크 보안 설정을 강화하십시오.