MOVEit Automation 인증 우회 취약점(CVE-2026-4670)

NOW Briefing

Brief 1 CVE-2026-4670은 Progress Software MOVEit Automation에서 확인된 인증 우회 취약점이며, CVSS v3.1 9.8의 Critical 등급으로 평가되었습니다.

Brief 2 MOVEit Automation은 전송 워크플로우와 스케줄링을 통제하는 제품이므로, 침해 시 무단 접근과 관리 기능 장악, 데이터 노출로 이어질 수 있습니다.

Brief 3 영향을 받는 인스턴스는 2025.1.5, 2025.0.9, 2024.1.8 이상으로 즉시 패치하고, 외부 노출 차단과 로그 점검을 함께 진행해야 합니다.

‍

MOVEit Automation 인증 우회 취약점(CVE-2026-4670)

‍

■ 개요

‍

CVE-2026-4670은 글로벌 소프트웨어 벤더인 Progress Software의 MOVEit Automation에서 확인된 인증 우회 취약점입니다. NVD(National Vulnerability Database)는 해당 취약점을 CWE-305(Authentication Bypass by Primary Weakness, 주 취약점에 의한 인증 우회)로 분류하고 있으며, CNA(CVE Numbering Authority)인 Progress Software가 산정한 CVSS v3.1 점수는 9.8입니다.

MFT(Managed File Transfer)는 기업 내외부 간 안전하고 신뢰할 수 있는 데이터 교환을 보장하는 관리형 파일 전송 개념 및 솔루션을 의미합니다. MOVEit 라인업에서 파일을 직접 저장하고 전송하는 주체는 'MOVEit Transfer(MFT 서버)'인 반면, 이번 공격 대상인 'MOVEit Automation'은 전송 워크플로우와 스케줄링을 중앙에서 통제하는 핵심 자동화 엔진 역할을 합니다. 따라서 단일 애플리케이션 취약점이라도 단순 웹 서비스 침해를 넘어 데이터 교환 경로, 업무 자동화 계정, 파트너 연동 지점까지 영향이 확장될 수 있습니다.

Progress Software는 2026년 4월 보안 권고를 통해 CVE-2026-4670을 공개했습니다. 해당 취약점은 서비스 백엔드 명령 포트 인터페이스를 통해 인증 우회 및 권한 상승을 유발할 수 있는 것으로 설명되었으며, 대응의 핵심은 패치 버전으로의 업그레이드입니다.

‍

■ 요약

‍

항목	내용
CVE ID	CVE-2026-4670(MOVEit Automation 인증 우회 취약점)
CVSS 점수	CVSS v3.1 9.8 / Critical
취약점 유형	CWE-305, Authentication Bypass by Primary Weakness
영향/위험	- 인증되지 않은 원격 공격자의 인증 우회 및 무단 접근 - 구성 및 전송 워크플로우 장악 - 민감한 데이터 노출 - 내부 시스템 연계 지점 악용 가능성
취약 버전	[제조사 기준] - 2025.1.4 이하, 2025.0.8 이하, 2024.1.7 이하 및 구버전 계열 [NVD 기준] - 2025.0.0 이상 ~ 2025.0.9 미만 - 2024.0.0 이상 ~ 2024.1.8 미만 - 2024.0.0 이전 버전
패치 버전	MOVEit Automation 2025.1.5, 2025.0.9, 2024.1.8 이상

‍

■ 보안 위협 분석

‍

MOVEit Automation의 보안 위험은 제품이 수행하는 역할에서 비롯됩니다. MFT 서버는 민감한 기업 데이터가 집중되고 내·외부 시스템을 연결하는 핵심 허브이기 때문에, 공격을 받을 경우 대규모 정보 유출과 파트너 및 내부망으로의 연쇄적 침해로 이어질 위험이 큽니다. 또한 공격 행위가 정상적인 자동화 전송 트래픽과 유사한 패턴으로 위장될 수 있어, 이상 징후에 대한 초기 탐지가 지연될 수 있습니다.

📌 과거 사례

2023년 랜섬웨어 그룹 Clop(클롭)은 'MOVEit Transfer'의 SQL 인젝션 취약점(CVE-2023-34362)을 악용해, 전 세계 수백 개 기업을 대상으로 대규모 공급망 공격과 데이터 유출 사태를 일으킨 바 있습니다.

과거 공격이 데이터가 저장된 서버를 직접 노린 사례였다면, 이번 CVE-2026-4670은 전체 데이터 흐름의 '제어권'을 가진 '자동화 엔진'에 대한 인증 우회라는 점에서 주목할 필요가 있습니다. 따라서 이 취약점은 단순 접근 통제 결함이 아니라 기업 데이터 흐름의 제어 지점에 대한 Initial Access(초기 침투) 위험으로 평가해야 합니다. 특히 인터넷에 노출된 시스템은 패치 우선순위를 최상위로 두어야 합니다.

‍