핵심 POINT
Ivanti(이반티)는 2026년 10월 13일 Connect Secure(커넥트 시큐어)의 인증 우회 취약점(CVE-2026-104935) 업데이트를 공개하며 일부 고객 대상 실제 악용을 확인했다고 밝혔고, KISA(한국인터넷진흥원)는 10월 14일 보안 업데이트를 권고했습니다.
Volexity(볼렉시티)는 세 가지 취약점을 연계해 인증 없이 root(최고 관리자) 권한으로 명령을 실행한 사례를 분석했고, 이 중 권한 상승 취약점의 수정은 이후 릴리스에서 제공될 예정이라고 밝혔습니다.
해결 버전 적용과 함께, 장비 로그와 Integrity Checker(무결성 점검 도구) 결과만으로는 침해를 확인하기 어려울 수 있어 별도의 침해 점검과 VPN(가상 사설망) 연동 계정 점검이 필요합니다.
VPN 장비가 Ivanti(이반티) Connect Secure라면? 제로데이 공격 확인, 업데이트와 침해 점검 포인트
Ivanti는 2026년 10월 13일 보안 공지를 통해 Connect Secure(ICS)의 인증 우회 취약점(CVE-2026-104935) 업데이트를 공개했습니다. 공지는 이 취약점으로 인증 없이 원격에서 임의의 명령이 실행될 수 있고, 공개 시점에 일부 고객을 대상으로 한 실제 악용을 인지하고 있다고 밝혔습니다. KISA도 10월 14일 보호나라에 Ivanti 제품 보안 업데이트 권고를 게시했습니다.
같은 날 보안 업체 Volexity는 10월 첫째 주 당시 최신 버전이던 22.8R2.4 장비가 침해된 사례를 분석해 공개했습니다. 공격자는 이번 취약점을 포함한 세 가지 취약점을 연계했고, 장비를 장악한 뒤 Active Directory(액티브 디렉터리) 계정 정보 수집과 로그 조작까지 시도한 것으로 확인됐습니다. VPN 장비는 사내 네트워크의 입구에 놓여 계정 정보가 모이는 곳이라, 업데이트와 함께 침해 여부를 확인해야 하는 사안입니다.
이번 글에서는 Ivanti 공지와 Volexity 분석을 바탕으로 영향 버전과 해결 버전, 공격자가 장비에서 한 일, 업데이트 이후에 이어 가야 할 점검 사항을 살펴보겠습니다. 이번 공개 자료에는 국내 피해 사례가 포함돼 있지 않으며, 아래 내용은 해외에서 확인된 공격 분석을 국내 VPN 운영 담당자 관점으로 정리한 것입니다.
■ 10월 13일 공개된 업데이트, 어떤 버전이 해당되나요?
출처: AI(ChatGPT) 생성 이미지
Ivanti 보안 공지의 핵심 내용은 다음과 같습니다.
| 항목 | Ivanti 공지 내용 |
|---|---|
| 취약점 | Spoofing(위장)을 통한 인증 우회(CVE-2026-104935, CWE-290) |
| 영향 | 인증되지 않은 원격 공격자가 임의의 명령 실행 가능 |
| CVSS(공통 취약점 평가 시스템) | 8.6(High, 높음), 네트워크 경유·권한 불필요·사용자 상호 작용 불필요 |
| 영향 버전 | 25.1.1.1 이하, 25.1.2.2 이하, 22.8R2.4 이하 |
| 해결 버전 | 25.1.1.2, 25.1.3.0 이상, 22.8R2.5 |
| 악용 여부 | 공개 시점에 일부 고객 대상 실제 악용을 인지 |
[표] Ivanti Connect Secure CVE-2026-104935 주요 정보 (Ivanti 보안 공지, 2026-10-13)
Ivanti는 이 취약점의 일부를 자체 제품 보안 프로그램에서 먼저 발견해 2026년 7월 25.1.3.0 버전에서 수정했고, 나머지 지원 버전으로 수정을 옮기던 중 악용이 발생했다고 설명했습니다. 22.7R2.14 이하 버전은 이 취약점의 영향을 받지 않는다고 안내했습니다. KISA 보호나라 공지에 적힌 영향 버전과 해결 버전도 Ivanti 공지와 일치합니다.
해결 버전의 배포 시점은 25.1.1.2가 10월 5일, 22.8R2.5가 10월 12일입니다. 22.8 계열은 25.1 계열로 옮기기 위한 임시 단계이며 22.7과 22.8 모두 2027년 1월 31일에 지원이 종료된다고 Ivanti는 안내했습니다.
■ 공격자는 VPN 장비를 장악한 뒤 무엇을 했나요?
출처: AI(ChatGPT) 생성 이미지
Volexity는 2026년 10월 5일 고객 네트워크의 의심 활동을 조사하던 중 원인이 ICS VPN 장비임을 확인했고, 당시 최신 버전인 22.8R2.4(빌드 19097) 장비가 침해된 것을 밝혀냈습니다. 공격은 10월 3일부터 반복된 것으로 확인됐고, 공격자는 인증 우회, 파일 쓰기를 이용한 원격 코드 실행, 권한 상승 취약점을 연계해 인증 없이 root 권한으로 명령을 실행했습니다. Volexity는 이 공격 활동을 UTA0576이라는 이름으로 추적하고 있습니다.
| 단계 | Volexity가 확인한 내용 |
|---|---|
| 침투 | 로그인 페이지 요청에 다른 스크립트 경로를 지정해 인증 없이 내부 스크립트로 전달(인증 우회), 이어서 업로드 파일을 실행(원격 코드 실행) |
| 권한 상승 | 장비 내부 관리 서비스를 속여 root 권한으로 스크립트 실행 |
| 정보 수집 | 장비에 저장된 도메인 연동 계정 정보 추출, Active Directory에서 LAPS(로컬 관리자 비밀번호 관리 솔루션) 비밀번호와 BitLocker(비트로커, 디스크 암호화 기능) 복구 키 조회 시도 |
| 정찰·확산 준비 | 내부 DNS(도메인 네임 시스템)·호스트 정찰, 패스워드 스프레잉(여러 계정에 흔한 비밀번호를 대입하는 공격), LDAP(디렉터리 조회 프로토콜) 트래픽 패킷 캡처 |
| 흔적 제거 | 장비 디버그 로그와 감사 로그의 최근 기록 삭제, 임시 파일 제거 |
[표] UTA0576의 침해 장비 내 활동 요약 (Volexity 분석, 2026-10-13)
공격자는 웹셸이나 백도어를 설치하지 않고, 명령을 실행할 때마다 취약점 연계 공격을 다시 수행해 결과를 응답으로 받아 갔다고 합니다. 권한 상승에 필요한 변경은 메모리에서만 이뤄지고 실행 후 원래 상태로 되돌려져, 디스크 파일 변경을 확인하는 Ivanti Integrity Checker Tool로는 침해가 탐지되지 않았습니다. Volexity는 침해 여부를 확인하려면 포렌식 조사가 필요하다고 설명합니다.
Volexity는 이 공격자가 금전적 동기를 가졌을 가능성이 높다고 낮은 확신으로 평가했고, 공격 도구의 복잡성과 사용 방식으로 미루어 대규모 언어 모델을 활용했을 가능성이 있다고 중간 정도의 확신으로 평가했습니다. 사후 활동이 중간에 차단돼 공격자의 최종 목적은 확인되지 않았습니다.
■ VPN 담당자가 오늘 확인할 순서
출처: AI(ChatGPT) 생성 이미지
아래 내용은 Ivanti 공지와 Volexity 권고를 기준으로 정리했습니다. 화면 구성은 장비와 버전에 따라 다를 수 있습니다.
❶ 운영 중인 장비와 버전 확인
VPN 관리 화면에서 장비의 버전 정보를 확인해 영향 버전(25.1.1.1 이하, 25.1.2.2 이하, 22.8R2.4 이하)에 해당하는지 봅니다. 22.7R2.14 이하는 이번 취약점의 영향을 받지 않는다고 Ivanti가 안내했지만, 지원 종료가 2027년 1월 31일이므로 전환 계획이 필요합니다.
❷ 해결 버전으로 업데이트
Ivanti는 22.8 계열은 25.1.1.2 이상으로의 업데이트를 권고하며, 당장 어려우면 22.8R2.5로 올리라고 안내합니다. 25.1.3.0 이상으로 옮기려면 신규 플랫폼 장비(ISA4500, ISA6500, ISA8500)나 새 템플릿으로 만든 가상 장비가 필요하므로 일정과 예산을 먼저 확인해야 합니다. 정확한 절차는 Ivanti 보안 공지와 업그레이드 호환성 가이드를 따릅니다.
❸ 침해 흔적 점검
Volexity는 로그인 페이지 경로(/dana-na/auth/url_default/welcome.cgi)로 들어오는 대량의 요청을 모니터링하고, 요청 경로와 X-DSCGI-PATH 헤더 값이 서로 다른 요청이 있는지 확인하라고 권고합니다. 장비의 /tmp/ 디렉터리에서 사후 활동 흔적도 확인하고, 침해가 의심되면 네트워크와 메모리 포렌식을 수행해야 합니다. Integrity Checker가 이상 없음으로 나와도 침해가 없다는 뜻은 아닙니다.
■ 업데이트 이후에도 이어 갈 점검 수칙
Connect Secure는 규모 있는 기업과 기관에서 주로 쓰이고 다수 구성원이 수시로 접속하는 VPN이어서, 취약 상태가 유지되면 피해가 클 수 있습니다. 어떤 제품이든 VPN과 같은 외부 접점 장비는 취약점이 공개되면 가장 먼저 공격 대상이 되므로, 업데이트 관리 체계 자체를 점검할 필요가 있습니다.
아래 수칙은 벤더의 공식 안내가 아니라 Volexity가 확인한 공격 방식과 일반적인 보안 관리 원칙에 따라 정리한 내용입니다.
• VPN 장비가 Active Directory 연동에 쓰는 서비스 계정은 최소 권한으로 제한하고, 침해가 의심되면 비밀번호 교체를 검토합니다.
• VPN 장비에서 내부 서버와 도메인 컨트롤러로 향하는 접속 기록과 대용량 아웃바운드 통신을 점검합니다.
• LAPS 비밀번호와 BitLocker 복구 키 조회 이력 등 Active Directory의 비정상 질의를 확인합니다.
• 장비 안의 로그는 삭제될 수 있으므로 VPN 로그를 외부 로그 서버나 보안관제 시스템으로 별도 보관합니다.
• 권한 상승 취약점의 수정 릴리스가 공개되는지 Ivanti 공지와 KISA 보호나라를 계속 확인합니다.
VPN 장비의 침해 여부는 장비 안의 정보만으로 확인하기 어려워 내부 서버 로그와 함께 봐야 합니다. SK쉴더스는 보안관제와 침해사고 대응 서비스를 제공합니다. 점검 범위와 우선순위를 정하기 어렵다면 SK쉴더스와 함께 검토해 보시기 바랍니다.
■ 자주 묻는 질문
Q. 이번 취약점은 이미 실제 공격에 사용됐나요?
A. Ivanti는 공개 시점에 일부 고객에게 영향을 준 악용을 인지하고 있다고 밝혔습니다. Volexity는 2026년 10월 3일부터 공격이 이어진 것을 확인했습니다. 이번 공개 자료에는 국내 피해 사례가 포함돼 있지 않습니다.
Q. 이미 업데이트했다면 안전한가요?
A. 업데이트는 이번 인증 우회와 원격 코드 실행 취약점을 막는 조치입니다. 업데이트 이전에 이미 침해됐을 가능성은 별도로 확인해야 하고, Volexity는 Integrity Checker만으로는 침해를 확인하기 어려울 수 있다고 설명했습니다.
Q. 22.7 버전을 쓰고 있는데 해당되나요?
A. Ivanti 공지는 22.7R2.14 이하 버전이 이번 취약점(CVE-2026-104935)의 영향을 받지 않는다고 안내합니다. 다만 22.7은 2027년 1월 31일에 지원이 종료되므로 25.1 계열로의 전환을 계획해야 합니다.
Q. 연계 공격에 쓰인 권한 상승 취약점은 수정됐나요?
A. Volexity는 권한 상승 취약점에 대한 수정이 앞으로 몇 주 안에 이후 릴리스에 포함될 예정이라고 밝혔습니다. 이 글을 작성하는 시점에 수정 릴리스 공개 여부는 확인하지 못했으므로 Ivanti 공지를 계속 확인해야 합니다.
Q. 어떤 영향 버전을 쓰는지 몰라도 점검받을 수 있나요?
A. 장비 관리자 화면의 버전 정보와 VPN 로그를 함께 확인하는 것이 기본입니다. 직접 점검이 어렵다면 침해사고 대응이나 보안관제를 제공하는 전문 업체와 점검 범위를 먼저 논의하는 방법이 있습니다.
[콘텐츠 출처]
Ivanti, Security Advisory Ivanti Connect Secure (CVE-2026-104935) (2026-10-13)
