Ivanti Connect Secure(ICS)에서 발견된 CVE-2026-118527 취약점은 예측 가능한 수 또는 식별자 생성 문제입니다. 이 허점을 이용하면 원격의 인증된 공격자가 제어하는 내용의 파일을 디스크의 알려진 위치에 업로드할 수 있게 됩니다. 이 취약점은 단독으로 사용되기보다 다른 취약점들과 체인 형태로 결합되어 비인증 root 권한 획득과 자격 증명 탈취로 이어질 수 있습니다. 그래서 보안 담당자의 각별한 주의가 필요합니다.
CVE-2026-118527 취약점 개요 및 기술적 특성
CVE-2026-118527은 Ivanti Connect Secure 장비 내에서 발생하는 예측 가능한 수 또는 식별자 생성 취약점입니다. 파일 이름 등이 예측 가능하게 생성되는 허점을 이용하는 방식입니다.
이 취약점을 악용하면 원격에서 인증을 거친 공격자가 자신이 제어하는 임의의 파일 내용을 시스템 디스크의 알려진 위치에 업로드할 수 있게 됩니다. CVSS 점수는 4.3으로 책정됐습니다. 단일 취약점으로는 중간 정도의 위험도지만, 실제 공격 환경에서는 다른 취약점과 결합해 치명적인 결과로 이어지는 징검다리 역할을 합니다.
취약점 체이닝을 통한 공격 경로
CVE-2026-118527의 가장 위험한 점은 CISA가 안내한 바와 같이 CVE-2026-104935 및 CVE-2026-111357 취약점과 체인(Chain)을 이룰 수 있다는 점입니다.
공격자(UTA0576)는 아래와 같은 단계를 거쳐 시스템의 완전한 제어권을 획득하는 것으로 분석됐습니다.
- 인증 우회 및 임의 명령 실행: CVE-2026-104935 취약점으로 스푸핑 기반 인증 우회를 수행합니다. 이 우회를 활용해 버전 25.1.3.0 미만의 ICS 장비에서 원격 비인증 공격자가 임의 명령을 실행할 수 있게 됩니다.
- 권한 상승: 여기에 CVE-2026-111357 취약점을 결합해 시스템 내 권한을 상승시킵니다.
- 파일 업로드 및 고착화: 마지막으로 CVE-2026-118527을 이용해 공격자가 제어하는 파일을 특정 위치에 업로드합니다.
이렇게 체인이 완성되면 공격자는 최종적으로 비인증 상태에서 root 권한을 획득하고, 시스템 내의 자격 증명 탈취까지 수행할 수 있습니다.
영향을 받는 버전 및 패치 권고 사항
CISA 경보에 따르면 CVE-2026-118527 취약점의 영향을 받는 Ivanti Connect Secure 버전은 다음과 같습니다. 운영 중인 장비의 버전을 즉시 확인해서 대응하시기 바랍니다.
| 대상 제품 | 영향을 받는 버전 범위 | 비고 |
|---|---|---|
| Ivanti Connect Secure | 25.1.1.2 이하 | CISA 경보 기준 |
| Ivanti Connect Secure | 25.1.2.2 이하 | CISA 경보 기준 |
| Ivanti Connect Secure | 22.8R2.5 이하 | CISA 경보 기준 |
참고로, 체이닝에 사용된 CVE-2026-104935는 NVD에 따르면 버전 25.1.3.0 미만에서 원격 비인증 공격자의 임의 명령 실행이 가능하다고 설명돼 있습니다.
탐지 한계 및 포렌식 기반 대응 방안
이 취약점이 포함된 공격 체인은 일반적인 무결성 점검 도구로 잡아내기가 매우 어렵습니다. 보안 전문 기업 Volexity의 관찰 결과에 따르면 공격자는 다음 두 가지 은폐 기법을 사용합니다.
- 메모리 패치: 라이브러리 코드를 디스크가 아닌 메모리상에서만 패치해 변경 사항을 적용합니다.
- 데이터 원복: 구성 저장소의 데이터를 원래 상태로 되돌려 놓아 흔적을 지웁니다.
이 기법이 쓰이면 일반적인 점검 도구는 아무 변조도 잡아내지 못합니다. ‘Clean’한 무결성 점검 결과가 나왔다고 해서 시스템 침해 가능성을 배제할 수 없는 이유이기도 합니다.
그래서 관리자에게 필요한 것은 자동화된 도구의 결과에 대한 단순한 의존이 아니라, 네트워크와 메모리 포렌식 조사로 실제 악용 증거를 식별해 내는 정밀 조사입니다.