최근 CISA KEV에 등재된 CVE-2026-59310은 VMware vCenter Server의 Syslog 서버 구성 요소에서 발견된 경로 순회(디렉터리 트래버설) 취약점입니다. 네트워크 접근 권한만 있는 공격자가 인증 없이 원격에서 임의 코드를 실행할 수 있어, 인터넷에 노출된 vCenter 시스템에 즉각적인 패치가 요구되는 최우선 보안 위협입니다. CVSS v3.1 기준 9.8(Critical)이라는 점수는 네트워크 접근만으로도 인증 없는 임의 코드 실행이 가능하다는 뜻이며, 노출된 vCenter 노드는 지금 당장 격리·패치 대상입니다.
CVE-2026-59310 개요: vCenter Syslog 서버의 경로 순회 취약점
CVE-2026-59310은 VMware vCenter Server 내 Syslog 서버 구성 요소에 존재하는 경로 순회 취약점입니다. 공격자가 vCenter Syslog 엔드포인트에 조작된 경로를 실어 요청을 보내면 의도하지 않은 파일 시스템 위치로 접근이 열리고, 여기서 임의 코드 실행까지 이어집니다. CWE-22(경로 순회)로 분류되며, CISA 공식 KEV 항목에도 “a threat actor with network access to vCenter to execute arbitrary code”로 적혀 있습니다.
CVE 레코드상 공개일은 2026-07-29입니다. Broadcom은 같은 날 여러 VMware 제품 결함의 패치를 일괄 공개하면서, 이 취약점에는 별도 우회 조치(workaround)가 존재하지 않는다고 명시했습니다. 해당 패치를 긴급 변경(emergency change)으로 분류해 즉시 적용을 요구하고 있습니다.
CVSS 9.8(Critical) 심각도와 공격 조건
CVE-2026-59310의 CVSS v3.1 벡터 문자열은 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H입니다. 구성 요소를 하나씩 풀면 다음과 같습니다.
- 공격 벡터(AV:N): 네트워크로 원격 공격이 이뤄지며, 물리적 접근도 내부 LAN 한정 접근도 아닙니다.
- 공격 복잡도(AC:L): 공격을 성공시키는 데 특별한 조건이나 사전 조작이 필요 없습니다.
- 권한 요구(PR:N): 공격자 계정이나 인증이 아예 요구되지 않습니다.
- 사용자 상호작용(UI:N): 관리자나 사용자의 클릭·승인 같은 상호작용이 전혀 없어도 됩니다.
- 영향(C:H/I:H/A:H): 기밀성·무결성·가용성이 모두 고(confidentiality, integrity, availability: high) 수준으로 타격을 입습니다.
이 조합은 CISA SSVC 프레임워크에서 Exploitation ‘active’, Automatable ‘yes’, Technical Impact ‘total’로 평가된 것과 정확히 맞아떨어집니다. 자동화 스캐닝만으로도 대량 침해가 가능하고, 침해되면 해당 vCenter 인프라에 연결된 가상 머신 전체의 가용성과 데이터 무결성이 통째로 무너진다는 뜻입니다.
CISA KEV 등재 경과와 대응 마감
미국 사이버보안인프라보안청(CISA)은 2026년 8월 18일 CVE-2026-59310을 Known Exploited Vulnerabilities(KEV) 카탈로그에 공식 등재했습니다. KEV 등재는 곧 해당 취약점이 이미 야생(wild)에서 악용되고 있음을 공식 확인했다는 뜻이며, federal agencies를 포함한 조직에는 BOD 26-04에 따른 대응이 의무화됩니다.
등재와 동시에 CISA는 대응 마감 기한을 2026-08-21로 못 박았습니다. 등재일로부터 3일 이내 패치를 적용하라는 일정입니다. CISA KEV 항목은 랜섬웨어 캠페인과의 연관성을 “Unknown”으로 표기하고 있지만, 이후 QUIRSO 기반 분석에서 Babuk 변종 랜섬웨어 배포가 확인된 바 있어 CISA 미확인 표기와 별개로 실제 침해 사례에 근거한 대응 판단이 필요합니다.
실제 악용: 패치 5일 만에 시작된 침해와 47개국 361개 피해 IP
Broadcom이 2026-07-29 패치를 공개한 지 5일 만인 2026-08-03, 침해된 vCenter 시스템이 공격자 도메인과 처음 통신한 정황이 포착됐습니다. QUIRSO Threat Research는 인터넷에 노출된 vCenter 시스템을 표적으로 삼는 활동적인 악용 캠페인을 추적해 47개국 361개의 희생자 IP를 확인했다고 보고했습니다.
지역별로는 독일(55), 미국(41), 튀르키예(38), 이란(26), 프랑스(25)에 피해가 몰려 있습니다. QUIRSO COO Denis Szadkowski는 “우리가 조사한 활동은 단순한 악용 시도가 아닌 성공적 침해(compromise)를 나타내며, 포렌식 증거는 초기 접근 벡터가 CVE-2026-59310임을 강력히 시사한다”고 밝혔습니다.
이 침해 활동은 Broadcom의 VMSA-2026-0006 공개 시점과 직접 연결됩니다. 패치를 적용하지 않은 채 방치된 vCenter가 수일 이내 대량 스캐닝에 걸려 실제 침입까지 이어졌음을 보여주는 대목입니다. QUIRSO는 해당 캠페인 관련 YARA 규칙 파일도 공개해서, 조직 내 엔드포인트 보호나 네트워크 감시 솔루션에 바로 적용할 수 있게 했습니다.
공격 체인 분석: 초기 침투부터 reverse_ssh, Babuk 변종 랜섬웨어까지
확인된 공격 체인은 취약점 하나를 악용하고 끝나는 게 아니라, 초기 접근 이후 다단계 권한 상승과 랜섬웨어 배포까지 이어지는 구조입니다.
- 초기 침투: CVE-2026-59310 경로 순회로 vCenter 어플라이언스에 들어간 뒤 곧바로 루트 권한으로 코드를 실행합니다.
- 백도어 설치: linuxFile 백도어를 심어 초기 foothold를 확보합니다.
- C&C 통신: 공격자 제어 도메인과 연결을 엽니다.
- 지속성 확보: malicious cron job으로 reverse_ssh를 배포하고, SSH 공개키 등록과 웹셸 드롭으로 권한을 굳힙니다.
- 자격 증명 탈취: vCenter 기기 계정 자격 증명을 훔쳐냅니다.
- ESXi 확장: 훔친 자격 증명으로 ESXi 로컬 계정을 만들어 침투 범위를 하이퍼바이저 레벨까지 넓힙니다.
- 랜섬웨어 배포: 마지막으로 babyk 확장자로 암호화하는 Babuk 변종 랜섬웨어를 배포합니다.
CVE-2026-59309도 8월 1일 이후 정황이 포착되어 함께 악용된 것으로 보고됐습니다. 공격자 속성은 중국어 아티팩트와 UTC+8 근무 패턴을 근거로 중국 연계 추정 APT로 분석된 바 있으나, The Hacker News가 8월 12일 기준 “suspected APT”로만 서술하고 있으니 확정적 귀속으로 단정하기보다 추정 수준에서 접근하는 게 맞습니다.
영향 버전과 패치·완화 방안
공식적으로 확인된 영향 범위와 고정 버전은 다음과 같습니다.
| 제품 / 버전 라인 | 영향 범위 | 고정 버전 | 근거 |
|---|---|---|---|
| vCenter 9.1.x.x | 9.1.0.0300 미만 모든 하위 버전 | 9.1.0.0300 | |
| vCenter 9.0.x.x | 9.0.2.0100 미만 | 9.0.2.0100 | |
| vCenter 8.0 | 8.0 U3k 미만 | 8.0 U3k | |
| VCF 5.x | VCF 5.x 전체 | 8.0 U3k 레벨로 async patch |
여기서 가장 중요한 사실은 별도 우회 조치(workaround)가 존재하지 않는다는 점입니다. 패치 적용이 유일한 해결책인데, Broadcom이 이를 긴급 변경(emergency change)으로 분류한 만큼 기존 변경 관리(CAB) 절차의 정기 사이클을 기다릴 여유가 없습니다.
국내 운영자를 위한 점검 체크리스트
CISA 대응 기한(2026-08-21)이 임박했거나 이미 경과한 상황에서, 패치를 적용하지 않은 vCenter가 내부 네트워크에 남아 있다면 다음 절차를 지금 즉시 밟아야 합니다.
- 버전 확인: 운영 중인 vCenter Server의 정확한 4단 버전(예: 9.1.0.02xx)을 확인해 위 표의 영향 범위에 해당하는지 대조합니다.
- 네트워크 노출 여부 점검: vCenter Syslog 포트가 인터넷이나 비인증 내부 세그먼트에 노출됐는지 포트 스캔으로 확인합니다. CVE-2026-59310은 PR:N(권한 불필요)이라 내부 네트워크라도 VLAN 분리 없이 접속 가능한 상태면 공격 표면입니다.
- 패치 적용 및 재기동: 해당 고정 버전으로 패치를 적용합니다. 긴급 변경으로 분류된 패치이므로 기존 CAB 주기에 매이지 말고 비상 변경 절차를 즉시 가동합니다.
- 침해 징후 포렌식: 패치 전 30일간의 vCenter Syslog, cron job 목록(/var/spool/cron, /etc/crontab), SSH authorizedkeys, 비정상 프로세스(linuxFile 계열), reversessh 연결 로그를 점검합니다.
- YARA 규칙 적용: QUIRSO가 공개한 YARA 규칙 파일을 엔드포인트 프로텍션이나 파일 인텔리전스 플랫폼에 적재해 이미 침해된 노드를 가려냅니다.
- ESXi 확장 확인: vCenter 자격 증명 탈취가 의심되면 연결된 모든 ESXi 노드의 로컬 계정 목록을 점검하고, 비정상적으로 생성된 계정이 있는지 확인합니다.
- CVE-2026-59309 동시 점검: 같은 패치 주기에 공개된 CVE-2026-59309도 함께 악용된 정황이 있으므로 두 취약점 패치를 일괄 적용하고, 인증 우회 시도를 모니터링합니다.
- 랜섬웨어 연관성 평가: CISA KEV는 랜섬웨어 사용 여부를 “Unknown”으로 표기하고 있지만 QUIRSO 분석에서는 Babuk 변종 배포가 확인된 바 있으니, 이 내용을 안보팀과 공유해 CISA 공식 확인 여부와 무관하게 랜섬웨어 시나리오를 포괄하는 대응을 준비합니다.
CVE-2026-59310은 “아직 악용 안 됐으면 괜찮다”고 판단할 취약점이 아닙니다. 패치 공개 5일 만에 47개국 361개 IP가 실제 침입을 당했고, 자동화 가능(automatable)으로 평가된 만큼 남은 노출 시스템도 같은 스캐닝 웨이브에 휩쓸릴 수 있습니다. 원칙은 하나입니다. 오늘 확인, 오늘 패치.