CVE-2026-0323은 Palo Alto Networks의 Checkov by Prisma Cloud에서 발견된 서버 측 요청 위조(SSRF) 취약점으로, 인증되지 않은 로컬 사용자가 Checkov가 실행되는 검사 호스트에서 내부 서비스로 승인되지 않은 네트워크 요청을 발생시킬 수 있다. 이 글은 2026년 11월 12일 기준 확인 가능한 자료를 바탕으로 영향 버전, 노출 조건, 임시 완화 조치, 업데이트 방향을 정리한다.
CVE-2026-0323 취약점 개요와 영향 버전(3.4.2 경계)
Checkov는 Terraform 구성 검사에 사용되는 도구이며, 이 제품의 SSRF 취약점 CVE-2026-0323은 Palo Alto Networks 보안 권고로 공개되었다. 취약점의 핵심은 인증되지 않은 로컬 사용자가 검사 호스트를 출발점으로 삼아 내부 서비스에 승인되지 않은 네트워크 요청을 보낼 수 있다는 점이다. 검사 호스트가 내부망에 있는 환경이라면 요청은 내부 서비스 방향으로 향하게 된다.
다만 권고로 확인되는 영향 범위는 내부 서비스로 향하는 승인되지 않은 네트워크 요청의 발생까지이며, 요청 도달 이후의 정보 유출 여부나 내부 서비스에 미치는 영향은 확인된 바 없다.
영향 버전은 제조사 권고의 Product Status 표를 기준으로 다음과 같이 나뉜다.
| 제품 | 버전 범위 | 영향 여부 |
|---|---|---|
| Checkov by Prisma Cloud | 3.4.2 미만 | 영향받는 버전 |
| Checkov by Prisma Cloud | 3.4.2 이상 | 영향받지 않는 버전 |
버전 확인이 점검의 출발점인 이유
영향 판정이 3.4.2라는 단일 경계로 갈리기 때문에, 노출 조건을 따지기에 앞서 설치된 버전부터 확인하는 것이 가장 빠른 판단 경로다. 물론 버전만으로 노출 여부가 결정되지는 않으며, 아래 두 조건을 함께 봐야 한다.
노출 조건 두 가지: 외부 Terraform 모듈 다운로드와 신뢰할 수 없는 구성 검사
권고상 이 취약점은 두 조건이 겹치는 설치에만 적용되며, 조건이 성립하지 않는 설치는 노출 대상에서 빠진다. 실제 점검에서는 두 조건을 각각 별도로 확인한 뒤 교차 여부를 판단하면 된다.
조건 1: 외부 Terraform 모듈 다운로드 설정
첫 번째 조건은 Checkov가 외부 Terraform 모듈을 다운로드하도록 설정된 경우다. 이 기능은 Checkov CLI의 –download-external-modules 옵션과 환경변수 DOWNLOADEXTERNALMODULES로 제어되며, 공개 Git 저장소와 Terraform 레지스트리에서 모듈을 가져오는 용도로 쓰인다. 이 기능이 켜져 있는지부터가 노출 판단의 첫 갈림길이다.
운영 점검에서는 다음을 확인한다.
- Checkov 실행 명령에 –download-external-modules 옵션이 지정되어 있는지
- 실행 환경에 DOWNLOADEXTERNALMODULES 환경변수가 설정되어 있는지
- 파이프라인 설정, 스크립트, 실행 환경 정의 등 Checkov를 실행하는 지점 전반에서 위 두 항목이 사용되는지
조건 2: 신뢰할 수 없는 출처의 Terraform 구성 검사
두 번째 조건은 신뢰할 수 없는 출처의 Terraform 구성을 검사하는 경우다. 조건 1의 설정이 켜져 있더라도 검사 대상 구성의 출처가 통제되어 있다면 두 조건의 교차는 성립하지 않는다. 반대로 두 조건이 모두 성립하는 설치라면 노출 대상으로 보고 대응을 진행하면 된다.
수정 버전 배포 전 임시 완화 조치
CVE 기록은 수정 버전이 배포되기 전까지 다음 세 가지를 권고한다.
- 신뢰할 수 없는 콘텐츠에 Checkov를 실행하지 않는다.
- 검사 디렉터리에서 구성이 자동으로 불러와지지 않도록 한다.
- 신뢰할 수 있는 구성 파일을 명시적으로 전달한다.
세 가지 모두 신뢰할 수 없는 입력이 검사 흐름에 들어오는 경로를 절차적으로 차단하는 조치다. 특히 두 번째 노출 조건, 즉 신뢰할 수 없는 출처의 구성을 검사하는 운영 관행이 있는 환경이라면 이 절차 변경을 우선 검토할 대상이다.
업데이트와 운영 점검 포인트
- 영향받는 설치는 영향받지 않는 버전으로 분류된 3.4.2 이상으로 업데이트한다.
- 업데이트와 검사 절차 변경은 운영 환경에서 검증한 뒤 적용한다.
- 업데이트와 별개로 신뢰할 수 없는 콘텐츠 검사 여부와 구성 파일 관리 방식을 함께 점검한다.
대응 순서는 “설치 버전 확인 → 노출 조건 두 가지 점검 → 3.4.2 이상 업데이트와 검사 절차 변경”이다. 버전 업데이트만으로 절차적 위험 요소가 사라지는 것은 아니므로, 신뢰할 수 없는 구성을 검사하는 프로세스 자체를 재점검하는 것이 권고의 취지와 부합한다.
확인되지 않은 사항: 악용 여부와 기술적 세부 경로
2026년 11월 12일 기준 수집된 자료에서는 다음 내용이 확인되지 않는다.
- SSRF를 유발하는 구체적 입력 형식, 내부 처리 결함 지점, 공격 진입점의 인과 관계
- 실제 악용 사례 및 공개 PoC 존재 여부
- CVSS 점수
- 특정 탐지 규칙, 탐지 로그, 침해 지표(IOC), 3.4.2 업데이트에 따른 호환성 정보
- 취약점 공개일·패치 발표일 등 권고 자체의 날짜(확인 가능한 것은 Security Desk 리포트의 게시일 2026.11.12뿐이다)
이 때문에 확인된 사실 범위를 넘어 데이터 유출 가능성이나 특정 탐지 방법을 단정하는 서술은 현재 근거로 뒷받침되지 않는다. 확인된 영향은 검사 호스트에서 내부 서비스로 향하는 승인되지 않은 네트워크 요청의 발생까지다. CVE-2026-0323 취약점에 대한 대응 판단도 이 범위에 맞추고, 나머지 사항은 추가 권고·자료 공개 여부를 계속 지켜보는 편이 자료와 어긋나지 않는 접근이다.