위협 피드

위험CVSS9.8#CVE-2026-123218 #IBM Aspera Faspex #IBM #부적절한 권한 부여 #권한 상승 #KEV #파일 전송

CVE-2026-123218 — IBM Aspera Faspex 5의 권한 부여 우회로 공격자가 관리자 권한을 얻을 수 있는 취약점: 해설과 대책(5.0.19 PL1에서 수정, KEV 등재)

CVE-2026-123218은 조작된 메시지로 IBM Aspera Faspex 5.0.0–5.0.19의 권한 부여를 우회해 관리자 권한을 얻을 수 있는 취약점입니다(CVSS 9.8). 5.0.19 PL1에서 수정. 2026년 11월 9일 CISA KEV 등재.

게시 2026-11-10 업데이트 2026-11-10 최종 확인 2026-11-10 6분 읽기

이 페이지에서

IBM Aspera Faspex 5.0.0부터 5.0.19까지(대용량 파일을 보내고 공유하는 제품)에서 공격자가 권한 부여를 우회해 관리자 권한을 얻을 수 있는 취약점의 해설입니다. 무슨 일이 일어나는지, 누가 영향을 받는지, 어떻게 대응해야 하는지를 방어하는 쪽의 관점에서, 공격 절차 없이 설명합니다.

권고 요약 — 권고 / KEV

CVE: CVE-2026-123218 (IBM 보안 권고 7295921)
심각도: CVSS v3.1 9.8 (Critical. 벡터 AV:N/AC:L/PR:N/UI:N. IBM이 부여)
유형: 부적절한 권한 부여(CWE-863). 조작된 메시지가 권한 부여를 우회해 관리자 권한을 얻음
전제 조건: 출처마다 설명이 다름. IBM과 CVE 레코드: 권한이 있는 사용자. IBM의 CVSS: 필요 권한 없음(PR:N). KEV: 인증된 사용자
영향 대상: IBM Aspera Faspex 5.0.0부터 5.0.19까지
수정: IBM Aspera Faspex 5.0.19 PL1 (Linux). 회피책 없음
날짜: IBM 권고와 CVE: 2026년 11월 7일
악용: CISA KEV에 2026년 11월 9일 등재(기한 11월 12일). IBM의 권고에는 언급 없음

9.8

CVSS v3.1 (IBM)

관리자 권한

공격자가 얻는 것

5.0.19 PL1

수정

11월 12일

KEV 기한

영향받는 버전을 5.0.19 PL1로 업데이트하고, 관리자 계정과 설정을 점검하세요

IBM이 회피책을 제시하지 않으므로 업데이트가 유일한 해결책입니다. 인증이 필요한지는 출처마다 표현이 다르지만, 어느 쪽이든 결과는 관리자 권한이므로 공격자가 먼저 로그인해야 한다는 이유로 대응을 미룰 근거는 없습니다. CISA가 짧은 기한을 붙여 KEV에 등재한 것이 악용되고 있다고 보는 근거입니다.

Faspex 5.0.0부터 5.0.19까지를 운영 중이라면 5.0.19 PL1로 업데이트하세요.
업데이트 후 faspex-core 컨테이너 이미지가 수정된 것인지 확인하세요.
관리자 추가, 권한 변경, 공유와 전송 설정 변경을 점검하세요.
인터넷에 노출되어 있다면 접근할 수 있는 대상을 좁히세요.

방치가 위험한 이유

관리자 권한을 얻으면 공격자는 Faspex에 보관된 파일, 공유 설정, 사용자 관리에 접근할 수 있습니다. 파일 전송 제품에는 거래처와 주고받는 기밀 데이터와 매우 큰 데이터가 담기는 경우가 많아, 영향이 제품 안에 머물지 않습니다. CISA는 이 KEV 항목에 대해 일상적인 패치만이 아니라 포렌식 선별(triage)이 필요하다고 표시했습니다.

이 취약점은 무엇인가

IBM의 권고와 CVE 레코드에 따르면 Faspex 5.0.0부터 5.0.19까지에서 조작된 메시지로 사용자 권한 부여를 우회해 전체 관리자 권한을 얻을 수 있습니다. 분류는 부적절한 권한 부여(CWE-863)입니다. 권고도 본 사이트도 메시지의 형태나 보내는 방법은 설명하지 않습니다.

눈여겨볼 점은 전제 조건의 설명이 일관되지 않다는 것입니다. 본 사이트는 어느 한쪽으로 단정하지 않고 출처를 나란히 보여 드립니다.

IBM(권고와 CVSS)

CVE 레코드의 설명: 권한이 있는 사용자가 메시지를 조작
CVSS 벡터: 필요 권한 없음(PR:N), 사용자 조작 불필요
9.8(Critical)로 평가

CISA(KEV)

설명: 인증된 사용자가 메시지를 조작
권한 부여가 우회되어 권한 상승이 일어남
점수 없음(KEV는 점수를 공개하지 않음)

"권한이 있는 사용자"와 "필요 권한 없음"은 쉽게 양립하지 않으며, IBM의 권고는 어느 쪽이 실제에 가까운지 밝히지 않습니다. 방어하는 쪽은 최악의 경우를 전제로 계획해야 합니다. 평소에 쓰는 일반 계정이 관리자로 이어질 수 있고, 계정이 전혀 없어도 닿을 수 있는 가능성을 배제할 수 없습니다.

영향 범위

항목	상세
제품	IBM Aspera Faspex
영향받는 버전	5.0.0부터 5.0.19까지
수정	5.0.19 PL1 (Linux). IBM은 faspex-core 컨테이너 이미지를 확인하라고 요청
회피책과 완화책	IBM의 권고에는 없음
권고에 없는 버전	5.0.0 이전 버전 계열 등. 사용 중이라면 IBM에 문의

수정은 컨테이너 이미지에 패치를 적용하는 방식으로 제공됩니다(절차는 IBM 문서를 참조).
리셀러나 유지보수 업체를 통해 Faspex를 사용한다면 같은 버전을 기준으로 판단하고 제공업체의 안내에 따르세요.

영향 여부 확인 방법

Faspex 버전 확인

관리 콘솔이나 배포된 컨테이너 이미지의 버전을 확인하세요. 5.0.0부터 5.0.19까지가 영향을 받으며, 수정된 배포는 5.0.19 Fix Pack 1입니다. 운영, 스테이징, 개발이 나뉘어 있다면 각각 확인하세요(자산 목록 체크리스트).

외부에서 접근 가능한지 확인

Faspex의 웹 인터페이스와 API에 인터넷이나 거래처 네트워크에서 닿을 수 있는지 확인하세요. KEV에 등재된 제품이라면 인터넷 노출 여부가 우선순위를 정하는 가장 큰 요인입니다.

관리자 권한을 가진 사람 목록 작성

현재의 관리자 계정을 기록해 두세요. 업데이트 후 점검에서 예상치 못한 관리자를 찾아내기 위한 기준이 됩니다.

오늘 해야 할 일

5.0.19 PL1로 업데이트(최우선)

IBM의 절차에 따라 컨테이너 이미지를 수정된 버전으로 올리세요. 이후 faspex-core 이미지가 5.0.19(1ce4b13, Fix Pack: 1)인지 확인하세요. KEV 기한은 11월 12일입니다.

업데이트할 수 있을 때까지 접근 대상을 좁힌다

IBM은 회피책을 제시하지 않습니다. 본 사이트의 추가 의견으로, Faspex에 닿을 수 있는 접속 주소를 필요한 사용자와 거래처 네트워크로 제한하세요. 업데이트를 대신하는 것이 아니라 당분간 노출을 줄이기 위한 조치입니다.

관리자 계정과 권한 변경 점검

업데이트 이전 기간에 대해 새 관리자, 일반 계정의 권한 승격, 비밀번호나 API 키의 재발급이 있었는지 찾아보세요. 기록해 둔 관리자 목록과 비교하여 예상치 못한 계정은 비활성화하세요.

공유와 전송 설정, 로그 점검

예상치 못한 공유 링크, 추가된 수신자, 변경된 전송 설정, 비정상적으로 큰 다운로드가 있는지 확인하세요. KEV가 이 항목에 포렌식 선별을 표시했으므로 업데이트로 끝내지 말고 침해 징후를 점검하세요. 절차는 취약점 대응 플레이북에서 다룹니다.

의심스러운 점이 있으면 자격 증명 교체

관리자의 수상한 활동이 발견되면 관리자 비밀번호, API 키, 연동 계정을 교체하고 관련된 거래처에 알리세요. 아무것도 발견되지 않았더라도 무엇을 어느 기간에 걸쳐 확인했는지 기록해 두세요.

악용 상황

CISA가 2026년 11월 9일 기한 11월 12일로 KEV에 추가했습니다(KEV 카탈로그 버전 2026.11.09). 본 사이트는 KEV 등재를 악용의 근거로 봅니다.
IBM의 권고는 악용에 대해 언급하지 않습니다. 규모, 수법, 공격 주체에 관한 공개 정보는 확인할 수 없었습니다.
KEV는 랜섬웨어 사용 여부를 Unknown, 포렌식 선별을 Yes로 기록하고 있습니다.
CISA의 평가(악용 활발, 자동화 가능, 기술적 영향 전체)가 CVE 레코드에 추가되었습니다.
NVD의 상태는 Undergoing Analysis이며, IBM이 부여한 9.8이 표시되어 있습니다.
Faspex는 이전에도 KEV에 등재된 적이 있습니다. 2023년 2월 21일 CVE-2022-47986(코드 실행)이 추가되었고 랜섬웨어 사용 여부는 Known으로 기록되었습니다. 다른 취약점입니다.

본 사이트의 견해: 전제 조건의 설명이 일관되지 않다고 해서 미룰 이유는 되지 않는다

"인증이 필요하니 괜찮다"는 판단은 두 가지 이유로 위험합니다.

첫째, Faspex는 거래처가 사용하도록 만들어진 제품이라 외부 계정이 많은 경우가 흔하며, 로그인할 수 있는 사람이 많을수록 인증 요건은 방어가 되지 못합니다. 둘째, IBM의 CVSS는 필요 권한 없음이라고 하며, 공개된 정보로는 어느 설명이 맞는지 가릴 수 없습니다. 확정할 수 없는 부분은 보수적으로 다루세요. 먼저 업데이트하고, 그다음 관리자 변경을 점검하세요(인증과 인가의 차이).

출처

IBM — Security Bulletin: IBM Aspera Faspex has addressed a vulnerability that could allow authorization bypass (2026년 11월 7일 공개. 영향받는 버전, 수정, 회피책 없음, CVSS 9.8)
CVE.org — CVE-2026-123218 (2026년 11월 7일 공개. CISA의 추가 정보 포함)
NVD — CVE-2026-123218 (Undergoing Analysis. CWE-863)
CISA KEV — Known Exploited Vulnerabilities Catalog (11월 9일 추가, 기한 11월 12일. 이전의 Faspex 항목도 같은 카탈로그에 있음)

최종 확인: 2026년 11월 10일.

이어서 읽기

FAQ

QCVE-2026-123218은 무엇인가요?

IBM Aspera Faspex 5.0.0부터 5.0.19까지의 부적절한 권한 부여 결함(CWE-863)입니다. IBM의 권고와 CVE 레코드에 따르면 조작된 메시지로 사용자 권한 부여를 우회해 전체 관리자 권한을 얻을 수 있습니다. IBM은 CVSS v3.1 9.8(Critical)로 평가했습니다.

Q영향받는 버전과 수정 방법은 무엇인가요?

IBM에 따르면 Aspera Faspex 5.0.0부터 5.0.19까지가 영향을 받습니다. 수정은 5.0.19 PL1(Linux)이며, IBM은 faspex-core 컨테이너 이미지가 5.0.19(1ce4b13, Fix Pack: 1)인지 확인하라고 요청합니다. 권고에는 이 범위만 있고 다른 버전 계열에 대한 언급은 없습니다.

Q아직 업데이트할 수 없다면 회피책이 있나요?

IBM의 권고에는 회피책이나 완화책이 없으므로, 업데이트를 대체할 설정은 없습니다. 본 사이트의 추가 의견으로, 업데이트할 수 있을 때까지 Faspex에 접근할 수 있는 사용자와 네트워크를 필요한 범위로 제한하고 관리자 계정과 설정 변경을 감시하세요.

Q인증이 필요한가요? IBM과 CISA의 설명은 왜 다른가요?

출처마다 표현이 다르며, 본 사이트는 어느 한쪽으로 단정하지 않습니다. IBM의 권고와 CVE 레코드는 권한이 있는 사용자가 메시지를 조작한다고 쓰지만, IBM이 부여한 CVSS 벡터는 필요 권한 없음(PR:N)이며 9.8로 평가했습니다. CISA의 KEV 설명은 인증된 사용자라고 합니다. 공개된 정보로는 어느 쪽이 정확한지 확인할 수 없으므로, 어떤 계정이든 관리자 권한으로 이어질 수 있다고 가정하세요.

Q실제로 악용되고 있나요?

CISA가 2026년 11월 9일 KEV 카탈로그에 추가했고(기한 11월 12일), 이것이 악용되고 있다고 보는 근거입니다. IBM의 권고는 악용에 대해 언급하지 않습니다. KEV는 랜섬웨어 사용 여부를 Unknown으로 기록하고 있습니다. 규모와 수법은 공개된 정보로 확인할 수 없었습니다.

QFaspex가 이전에도 KEV에 등재된 적이 있나요?

네. KEV에는 2023년 2월 21일 IBM Aspera Faspex의 CVE-2022-47986(코드 실행)이 추가되었고, 랜섬웨어 사용 여부는 Known으로 기록되었습니다. 다른 취약점이지만 Faspex가 이전에 악용된 적이 있다는 뜻입니다.