AhsayCBS에서 발견된 CVE-2026-105134 취약점은 Replication Receiver의 UpdateReceivers.do에서 발생하는 OS 명령 주입 취약점입니다. 미국 CISA의 KEV(Known Exploited Vulnerabilities) 카탈로그에 등재되어 있고, 실제 환경에서 악용 사례가 확인된 매우 위험한 수준의 보안 결함입니다.
CVE-2026-105134 취약점 개요 및 위험도
CVE-2026-105134는 Ahsay Systems의 AhsayCBS 제품에서 확인된 OS 명령 주입(OS Command Injection) 취약점입니다. 이 취약점은 AhsayCBS Replication Receiver의 UpdateReceivers.do 경로에서 발생하며, 공격자가 시스템 명령어를 임의로 실행할 수 있게 됩니다.
위험성은 CVSS 3.x 기준 기본 점수 10.0(Critical)으로 평가될 만큼 치명적입니다. 이론에 그치는 수준이 아닙니다. CVE Project 레코드상 이미 익스플로잇이 공개돼 있다는 점이 관리자들에게 긴급한 대응을 요구하는 핵심 이유입니다.
공격 메커니즘: 인증 우회와 RCE 체이닝
혼자 놓여 있어도 위험하지만, CVE-2026-105134는 다른 취약점과 결합하면 파괴력이 극대화됩니다. 보안 분석에 따르면 이 취약점은 인증 우회 취약점인 CVE-2026-105133과 체이닝(Chaining)되어 원격 코드 실행(RCE)으로 이어집니다.
공격 프로세스는 다음 순서로 진행됩니다.
- CVE-2026-105133으로 인증을 우회합니다.
- 파일 쓰기 기능을 활용해 웹 서버가 구동되는 Tomcat 애플리케이션 디렉토리에 실행 가능한 JavaServer Pages(JSP) 파일을 배치합니다.
- 공격자는 대상 서버에서 임의의 코드를 실행할 수 있는 권한을 손에 넣게 됩니다.
실제 악용 사례 및 CISA KEV 등재 현황
가장 우려되는 점은 이 취약점이 이미 실전에서 공격에 쓰이고 있다는 사실입니다. 미국 CISA(사이버보안 및 인프라 보안국)가 운영하는 ‘알려진 악용 취약점(KEV)’ 카탈로그에 이름이 올라갔다는 건, 이 취약점을 이용한 실제 공격 사례가 공식적으로 확인·보고되었음을 뜻합니다.
실제 공격 캠페인을 분석한 Huntress는 이 취약점으로 JSP 웹쉘을 설치하거나 암호화폐 마이너(Cryptocurrency Miner)를 돌린 사례를 확인했습니다. 공격자가 단순히 시스템 정보를 훔쳐 가는 수준을 넘어, 서버 자원을 점유하고 지속적인 제어권을 확보하는 백도어를 심어 두었음을 보여줍니다.
버전별 대응 방안 및 핫픽스 적용 가이드
제조사 Ahsay는 취약점의 영향을 받는 버전으로 v7, v8, v9, v10을 명시했습니다. IT 관리자와 보안 담당자는 운영 중인 AhsayCBS 버전부터 즉시 확인해 아래 가이드에 따라 핫픽스와 업그레이드를 적용해야 합니다.
| 영향 버전 | 조치 사항 | 적용 대상 핫픽스/버전 |
|---|---|---|
| AhsayCBS v10 | 핫픽스 적용 | v10.3.4.45 |
| AhsayCBS v9 | 핫픽스 적용 | v9.15.2.70 |
| AhsayCBS v7, v8 | v9 업그레이드 후 핫픽스 적용 | v9.15.0.0 업그레이드 $\rightarrow$ v9.15.2.70 핫픽스 |
주의할 점이 하나 있습니다. 이 핫픽스는 일반 공개 경로가 아니라 유효한 파트너 포털 로그인 계정이 필요한 경로로 배포됩니다. 파트너사 운영진은 지체 없이 포털에 접속해 최신 패치를 확보하고 적용하는 일이 급선무입니다.
보안 담당자에게 드리는 당부
CVE-2026-105134는 CVSS 10.0의 최고 위험도, 익스플로잇 공개, CISA KEV 등재라는 세 가지 위험 요소가 한꺼번에 겹쳐 있는 상태입니다. JSP 웹쉘을 이용한 지속적인 침투 사례가 보고된 만큼, 패치 적용 전후로 시스템 내 의심스러운 JSP 파일 생성 여부를 전수 조사하길 권합니다.
업데이트를 미루기만 하면 공격자에게 서버 제어권을 통째로 내주는 셈입니다. 파트너 포털 계정을 통해 당장 핫픽스를 적용해 RCE와 OS 명령 주입 위협으로부터 인프라를 지키시기 바랍니다.