CVE-2025-68686은 FortiOS SSL-VPN의 심볼릭 링크 지속성 대응 패치를 우회해 장비 내 민감한 파일을 읽어내는 취약점(CWE-200)입니다. SSL-VPN 기능을 활성화해 사용 중인 FortiOS 특정 버전 장비가 이에 해당하므로, 최신 버전으로 업그레이드하거나 마이그레이션해야 합니다.
CVE-2025-68686 취약점 개요
Fortinet FortiOS SSL-VPN 기능에서 심볼릭 링크 지속성 대응 패치를 우회하는 취약점이 발견되었습니다. 이 취약점의 핵심은 CWE-200(민감한 정보 노출)으로, 공격자가 정상적인 경로를 벗어나 시스템 내부의 민감한 파일에 접근해 내용을 읽게 하는 방식입니다.
해당 취약점의 위험성은 이미 실전에서 악용되고 있다는 점에서 매우 높습니다. 미국 사이버보안 및 인프라 보안국(CISA)은 2026년 7월 27일에 CVE-2025-68686을 ‘Known Exploited Vulnerabilities(KEV)’ 카탈로그에 추가했습니다. 이는 해당 취약점을 이용한 실제 공격 사례가 확인되었다는 뜻으로, CISA는 미국 연방 민간 행정기관을 대상으로 8월 10일까지 신속한 조치를 완료하라고 요청했습니다.
악용 조건 및 선행 요건
CVE-2025-68686은 단독으로 실행해 즉각적인 시스템 권한을 탈취하는 취약점과는 다릅니다. 이 취약점이 실제로 악용되려면 다음 특정 조건이 충족되어야 합니다.
- 파일시스템 접근 권한 확보: 공격자가 이미 다른 취약점을 이용해 해당 장비의 파일시스템 수준에서 ‘읽기 전용(Read-only)’ 접근 권한을 확보한 상태여야 합니다.
- SSL-VPN 기능 활성화: FortiOS 장비에서 SSL-VPN 기능을 한 번이라도 활성화해 사용한 이력이 있어야 합니다. 만약 SSL-VPN을 한 번도 활성화하지 않은 장비라면, Fortinet 기준에 따라 이 취약점의 영향 범위에서 제외됩니다.
본 취약점은 다른 공격 벡터와 결합해 2차로 민감 정보를 유출하는 경로로 쓰일 가능성이 커, 선행 취약점 제거와 이번 패치를 동시에 진행하는 통합적인 보안 관리가 필요합니다.
영향을 받는 버전 및 조치 방안
FortiOS 버전에 따라 대응 방법이 다릅니다. 운영 중인 장비의 펌웨어 버전을 확인해 아래 기준에 맞게 적절히 조치해야 합니다.
버전별 영향도 및 대응 가이드
| FortiOS 버전 | 영향을 받는 범위 | 권고 조치 사항 |
|---|---|---|
| FortiOS 7.6 | 7.6.0 ~ 7.6.1 | 7.6.2 이상 버전으로 업그레이드 |
| FortiOS 7.4 | 7.4.0 ~ 7.4.6 | 7.4.7 이상 버전으로 업그레이드 |
| FortiOS 7.2 / 7.0 / 6.4 | 모든 버전 | 마이그레이션(Migrate) 권고 |
인프라 관리자를 위한 실행 지침
네트워크 보안 담당자는 다음 단계를 거쳐 장비의 안전성을 점검하고 조치해야 합니다.
- 자산 식별: 현재 운용 중인 모든 FortiOS 장비의 펌웨어 버전을 전수 조사합니다.
- 노출 여부 판단: 해당 장비에서 SSL-VPN 기능이 활성화되어 있는지 확인합니다.
- 단계별 패치 적용:
- 7.6 및 7.4 버전 사용 장비는 상기 표에 명시된 최신 보안 패치 버전(7.6.2 / 7.4.7 이상)으로 즉시 업그레이드합니다.
- 7.2, 7.0, 6.4 등 구형 버전을 사용하는 장비는 단순 패치가 아닌 상위 버전으로의 마이그레이션을 검토해 실행합니다.
- 사후 검증: 업그레이드 완료 후 SSL-VPN 설정 상태를 재점검하고, 시스템 로그를 통해 비정상적인 파일 접근 시도가 있었는지 분석합니다.
CISA가 KEV 카탈로그에 등재할 만큼 실제 위협이 확인된 취약점이니, 가용 가능한 가장 빠른 일정 내에 패치 작업을 마치기 바랍니다.