대상: ScreenConnect를 쓰는 조직(특히 관리형 서비스 제공업체와 고객의 기기를 관리하는 IT 팀)과 그 제공업체의 고객. 이 글은 ConnectWise의 공식 권고를 바탕으로 한 해설이며 공격 절차나 침해 지표는 다루지 않습니다.
진행 중: 기관이 추가 정보를 발표하는 대로 이 글을 업데이트합니다
- 대상
ScreenConnect를 쓰는 조직(특히 관리형 서비스 제공업체와 고객의 기기를 관리하는 IT 팀)과 그 제공업체의 고객.
- 확인된 영향 범위표 보기 ↓
- RMM+ 계열 확장 기능이 설치된 파트너 환경
- 예방 차원 비활성화
- 조사한 보안 업체 고객 환경에서의 불법 클라이언트 설치
가능성이 있다고 한 항목
- 타사 확장 기능 악용이 침입 경로
- 아직 확인되지 않은 사항
- 공격자가 처음 어떻게 들어왔는지(회사는 확인되지 않았다고 밝힘)
- 전체 범위: 어떤 파트너와 고객 환경이 영향을 받았는지(회사는 최초 접근 이후를 볼 수 없음)
- 타사 확장 기능에 대한 최종 평가(회사는 아직 검증 중)
1개 더 보기
- 비활성화된 확장 기능에 대한 추가 안내(회사는 추가 안내가 있을 때까지 다시 활성화하지 말라고 함)
- 지금 할 일절차 보기 ↓
- 해당 확장 기능이 비활성화되었는지 확인하고 비활성화한 채 유지하세요
- 모든 기술자 클라이언트를 26.6.5 이상으로 업데이트하세요
- 업데이트가 끝나기 전에는 Transfer Files 권한을 줄이세요
4개 더 보기
- 신뢰할 수 있는 기기에서 세션을 취소하고 MFA와 함께 자격 증명을 재설정하세요
- 별도의 도구로 조사하고 로그를 보존하세요
- 수상한 로그인과 승인되지 않은 원격 접속 소프트웨어를 살피세요
- 관리형 서비스 제공업체의 고객: 제공업체에 물어보세요
- 확인처(출처)출처 전체 ↓
- ConnectWise, "ScreenConnect security advisory: Precautionary extension disabling and partner guidance" (공식 Trust Center 권고, 2026년 11월 11일 22:45 UTC 최초 게시, 11월 13일 21:15 UTC 마지막 업데이트, 11월 14일 확인)
- 마지막 확인
- 2026년 11월 14일 기준
후속 발표 예정과 확인 기록
회사는 조사 결과를 계속 검증하고, 범위 정보를 대조하고, 정보가 확인되는 대로 Trust Center를 업데이트하겠다고 밝혔습니다. 2026년 11월 14일에 확인했을 때 가장 최근 항목은 11월 13일 21:15 UTC의 업데이트였습니다. 보안 업체의 블로그도 11월 13일 22:30 UTC 업데이트에서 두 번째 물결을 추가했습니다.
ScreenConnect 사용자가 오늘 해야 할 일
해당 확장 기능이 비활성화되었는지 확인하고 비활성화한 채 유지하세요
권고는 예방 차원에서 비활성화할 독립 개발 타사 확장 기능 5개를 들었습니다: Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link, RMM+ Password Link. 회사는 클라우드 환경 약 400곳에서 이를 비활성화했습니다. 온프레미스 환경에서는 파트너를 대신해 비활성화할 수 없으므로 온프레미스 파트너는 즉시 비활성화해야 합니다(11월 13일 업데이트). 같은 업데이트에서 회사는 클라우드 및 마켓플레이스 환경에서 확장 기능 3개(ITBoost Integration, RepairShopr Integration, Guest Session Starter)도 비활성화했고, 모든 파트너에게 온프레미스 여부와 관계없이 같은 조치를 강력히 권하며, 예방적 봉쇄 조치로 즉시 비활성화해 달라고 요청합니다. 이 확장 기능이 있는 모든 사용자는 상태를 확인하고 추가 안내가 있을 때까지 다시 활성화하거나 재설치하지 말아야 합니다. 회사 페이지의 확장 기능 제거 안내를 보세요.
모든 기술자 클라이언트를 26.6.5 이상으로 업데이트하세요
클라우드 호스팅 사용자와 온프레미스 사용자 모두에게 해당합니다. 클라우드 콘솔을 업데이트해도 기술자 클라이언트는 업데이트되지 않으므로, 각 기술자 워크스테이션에 설치된 버전을 확인하세요. 회사는 26.6.5 이상 버전이 엔드포인트에서 기술자 워크스테이션으로 확산하려는 시도를 막는다고 밝혔습니다. 다만 이미 일어난 침해를 제거하지는 않는다고 덧붙였습니다.
업데이트가 끝나기 전에는 Transfer Files 권한을 줄이세요
역할과 세션 그룹 권한을 점검하고, 필요 없는 곳에서는 Transfer Files를 비활성화하세요(옛 버전에서는 TransferFilesInSession이라고 부를 수 있습니다). 회사는 이를 업데이트를 대신하지 않는 임시 위험 감소 조치라고 설명합니다.
신뢰할 수 있는 기기에서 세션을 취소하고 MFA와 함께 자격 증명을 재설정하세요
회사는 활성 상태인 모든 ScreenConnect 웹 세션과 연결된 ID 제공자 세션을 취소하고, 관련 자격 증명을 재설정하고, MFA를 강제하라고 요청합니다. 비밀번호 재설정만으로는 기존 세션이 모두 무효화되지 않습니다. 다중 인증 가이드를 보세요.
별도의 도구로 조사하고 로그를 보존하세요
영향받은 기기를 조사하거나 정리하는 데 ScreenConnect 자체를 쓰지 말고, EDR의 대응 기능이나 신뢰할 수 있는 다른 대역 외 방법을 쓰세요. 영향받은 기기에 접속한 기술자 워크스테이션도 포함하세요. 인증, 확장 기능 설치, 관리, Run Command, Toolbox 기록을 먼저 보존한 뒤, 서버에서 대기 중인 명령과 도구를 지우고, 무단 소프트웨어와 지속성을 제거하고, 기기를 다시 연결하기 전에 검증하세요.
수상한 로그인과 승인되지 않은 원격 접속 소프트웨어를 살피세요
회사는 수상한 로그인, 예상치 못한 MFA 요청, 새 관리자, 권한 변경, 승인되지 않은 원격 접속 소프트웨어, 예상치 못한 명령이나 확장 기능 설치를 들었습니다. 또 예상치 못한 지원 요청과 비밀번호 재설정 메시지는 신뢰할 수 있는 경로로 확인하라고 요청합니다. 피싱이란?을 보세요.
관리형 서비스 제공업체의 고객: 제공업체에 물어보세요
회사는 최초 접근 이후 파트너 환경 안의 활동은 볼 수 없으므로 고객의 기기가 영향을 받았는지 말할 수 없습니다. 제공업체가 ScreenConnect와 이 확장 기능을 썼는지, 무엇을 점검했는지 물어보세요(이 사이트의 견해).
무슨 일이 있었나요 (ConnectWise 권고 기준)
이 절은 Trust Center의 ConnectWise 권고 "ScreenConnect security advisory: Precautionary extension disabling and partner guidance"를 바탕으로 합니다. 회사 자신의 설명이며 제3자가 검증한 것은 아닙니다. 시각은 회사가 밝힌 대로입니다(UTC).
9월 8일
회사는 이전 클라이언트 문제인 CVE-2026-84869를 수정한 ScreenConnect 클라이언트 버전 26.6.5를 출시합니다. 이후 이 버전이 이번 사건에서 설명하는 확산 기법을 막는다고 밝힙니다(앞서 수정됨).11월 11일 22:45 UTC (11월 12일 7:45 JST)
회사가 첫 권고를 게시합니다. 파트너 계정에 대한 무단 접근과 고객 환경에서의 무단 원격 접속 소프트웨어 배포에 대한 보고를 알고 있다고 밝히고, 관련됐을 수 있는 타사 확장 기능 5개를 들며, 예방 차원에서 파트너 환경 약 400곳에서 이를 비활성화했다고 밝힙니다.11월 12일 02:45 UTC (11:45 JST)
첫 번째 업데이트. 자사 인프라 침해나 ScreenConnect 취약점은 발견되지 않았다는 점을 반복하고, 이 확장 기능이 파트너가 설정한 암호 문구로 보호되는, 원격 명령을 실행할 수 있는 API를 제공한다고 밝힙니다.11월 11일 17:47 UTC (11월 12일 2:47 JST)
이 활동을 조사한 한 보안 업체가 자사 고객 환경에서 의심스러운 활동을 관측합니다. 약 90분 안에 조직 48곳의 엔드포인트 최소 288대에 도달했습니다(업체의 블로그). 이는 회사의 첫 권고보다 앞선 시점입니다.11월 12일 18:45 UTC (11월 13일 3:45 JST)
두 번째 업데이트. 기술자 클라이언트를 26.6.5 이상으로 업데이트하고 Transfer Files 권한을 점검하라는 안내를 더하고, 제3자 연구자들의 발견을 보고합니다.11월 13일 16:12 UTC (11월 14일 1:12 JST)
조사한 보안 업체가 두 번째 물결을 기록합니다: 조직 41곳의 엔드포인트 205대(업체의 블로그, 22:30 UTC 업데이트).11월 13일 21:15 UTC (11월 14일 6:15 JST)
세 번째 업데이트. 클라우드 및 마켓플레이스 환경에서 확장 기능 3개를 추가로 비활성화, 온프레미스 파트너는 즉시 비활성화해야 하며, 연구자들은 온프레미스 환경을 노린 추가 활동을 보고합니다.
- 회사가 조사 중인 것
- 일부 파트너의 ScreenConnect 환경에 대한 무단 접근과 고객 환경에서의 무단 원격 접속 소프트웨어 배포
- 초기 평가
- 이 활동에는 위협 행위자가 파트너 환경에 설치된 독립 타사 확장 기능을 악용한 일이 관련됐을 수 있음. 아직 검증 중. 최초 접근 방법과 전체 범위는 확인되지 않음
- 확장 기능
- 파트너가 설정 때 지정한 암호 문구로 보호되는, 원격 명령을 실행할 수 있는 API. 확장 기능이 있다는 사실만으로 침해가 입증되지는 않음
- 제3자 연구자들의 보고 (회사가 검증하지 않음)
- 공격자는 파트너 콘솔에 대한 접근을 이용해 무단 ScreenConnect 클라이언트와, 접속하는 기술자 워크스테이션으로 확산하도록 설계된 도구 세트를 배포했음. 연구자들은 그 확산이 성공한 것은 관찰하지 못했다고 밝힘. 확장 기능의 인증 결함도 보고함. 회사는 이 발견을 평가 중이라고 밝힘. 타사 확장 기능의 문제에 CVE가 부여됨
- 회사의 조치
- 클라우드 환경 약 400곳에서 확장 기능을 비활성화, 온프레미스 파트너에게 비활성화를 권고, 영향받은 파트너에게 직접 연락하고 ScreenConnect 파트너에게 이메일을 보냄, 보고된 악성 인프라를 차단하기 위한 공조를 포함한 추가 보호 조치를 취함
- 가시성
- 회사는 최초 접근 이후 파트너 환경 안의 활동을 볼 수 있는 가시성이나 텔레메트리가 없으며, 영향받은 파트너나 고객 환경에서 무슨 일이 있었는지 독립적으로 판단할 수 없음
- 찾아볼 곳
- 권고는 조사를 위해 보고된 침해 지표도 게시하며, 이 글은 이를 옮기지 않습니다. 일치하는 것이 없다고 해서 침해가 배제되지는 않는다고 밝힘
알려진 것과 알려지지 않은 것
2026년 11월 13일 기준 상태입니다. 더 많은 정보가 공개되면 상태 열을 업데이트합니다.
| 항목 | 내용 | 상태 |
|---|---|---|
| 파트너 ScreenConnect 환경에 대한 무단 접근과 무단 원격 접속 소프트웨어 배포 | 회사는 보고를 알고 있으며 조사 중 | 조사 중 |
| RMM+ 계열 확장 기능이 설치된 파트너 환경 | 약 400곳 (침해가 확인된 수가 아님) | 확인됨 (회사) |
| 예방 차원 비활성화 | 클라우드 환경에서는 완료, 온프레미스 파트너는 직접 해야 함 | 확인됨 (회사) |
| 타사 확장 기능 악용이 침입 경로 | 초기 평가, 아직 검증 중 | 가능성 (회사의 평가) |
| ConnectWise 인프라 침해 | 증거 없음 | 확인되지 않음 (회사) |
| 최초 접근에 ScreenConnect 취약점 | 증거 없음 | 확인되지 않음 (회사) |
| 기술자 워크스테이션으로의 확산 | 연구자들은 성공한 것을 관찰하지 못했다고 하며, 회사는 26.6.5 이상이 그 기법을 막는다고 함 | 조사 중 |
| 최초 접근 이후 파트너와 고객 환경 안의 활동 | 회사는 가시성이 없음 | 언급 없음 |
| 최초 접근 방법과 전체 범위 | 확인되지 않음 | 조사 중 |
| 조사한 보안 업체 고객 환경에서의 불법 클라이언트 설치 | 11월 11일: 조직 48곳의 엔드포인트 최소 288대(약 90분). 11월 13일: 조직 41곳의 엔드포인트 205대. 업체의 공식 블로그 | 확인됨(보안 업체, 자사 고객 범위) |
| 영향받은 파트너와 고객의 총수 | 회사의 권고에는 언급 없음 | 언급 없음 |
읽는 법: 이 수치는 확장 기능이 있는 환경의 수이며 피해자 수가 아닙니다
"약 400곳"은 이 확장 기능이 하나 이상 설치된 파트너 환경의 수입니다. 회사는 이것이 설치 여부를 반영할 뿐 침해가 확인된 수가 아니라고 밝혔습니다. 권고는 실제로 영향을 받은 조직의 총수를 제시하지 않습니다. 보안 업체의 조직 48곳 엔드포인트 최소 288대는 그 업체 자체 고객 범위의 수이며, 피해자의 총수도 아니고 「약 400곳」과 같은 모집단도 아닙니다. 확장 기능에 대한 평가도 회사가 초기 평가이며 아직 검증 중이라고 설명합니다.
원격 관리 도구가 악용되면 생길 수 있는 일
아래는 일반적으로 생길 수 있는 일이며, 특정 환경에서 그런 일이 있었다는 뜻이 아닙니다. 회사가 일어났다고 밝힌 것은 위의 "무슨 일이 있었나요"에 한정됩니다.
IT 제공업체가 쓰는 원격 접속 도구는 관리하는 모든 기기에서 명령을 실행하고 파일을 전송할 수 있습니다. 누군가 도구의 콘솔이나 기술자 워크스테이션을 장악하면 그 영향이 제공업체의 고객에게까지 미칩니다. 회사가 별도의 도구로 조사하라고 요청하는 이유이며, 제공업체의 고객이 무엇을 점검했는지 물어볼 이유이기도 합니다.
원격 관리 도구를 운영하는 조직이 점검할 점
이 절은 회사의 대응을 평가하지 않으며 침입의 기술적 세부 사항을 추측하지도 않습니다. 공개된 설명을 바탕으로 자기 환경에서 확인할 점만 다루며, 모두 이 사이트의 견해입니다.
원격 접속 도구에 설치된 확장 기능과 애드온의 목록을 유지하세요
이번 사례의 확장 기능은 파트너가 독립적으로 개발해 추가한 것이었습니다. 어떤 애드온이 설치되어 있는지, 누가 승인했는지, 무엇을 할 수 있는지 파악하고, 필요 없는 것은 제거하세요(이 사이트의 견해).
명령을 실행하는 API가 암호 문구 하나보다 강한 보호 뒤에 있는지 확인하세요
회사는 설정 때 지정한 암호 문구로 보호되는, 원격 명령을 실행할 수 있는 API를 설명합니다. 관리 대상 기기에서 명령을 실행할 수 있는 기능에는 공유된 비밀값보다 강한 인증과 네트워크 제한이 필요합니다(이 사이트의 견해).
콘솔뿐 아니라 기술자 클라이언트의 버전도 추적하세요
회사는 클라우드 콘솔을 업데이트해도 기술자 클라이언트는 업데이트되지 않는다고 지적합니다. 각 기술자 워크스테이션의 클라이언트 버전 목록을 유지하세요(이 사이트의 견해).
파일 전송과 원격 명령 권한은 필요한 역할에만 주세요
회사의 임시 조치는 필요하지 않은 곳에서 Transfer Files를 비활성화하는 것입니다. 계정 하나가 침해되어도 모든 기기로 파일을 옮길 수 없도록 역할을 정기적으로 점검하세요(이 사이트의 견해).
의심되는 도구에 의존하지 않는 조사 수단을 갖추세요
회사는 ScreenConnect로 조사하지 말라고 요청합니다. 필요해지기 전에 기기를 격리하고 점검할 EDR이나 다른 대역 외 수단을 준비해 두세요(이 사이트의 견해).
출처 (공개 기록)
이 글의 사실은 아래 공개 정보에서 가져왔습니다. 공격 절차의 세부 사항과 침해 지표는 다루지 않습니다.
- ConnectWise, "ScreenConnect security advisory: Precautionary extension disabling and partner guidance" (공식 Trust Center 권고, 2026년 11월 11일 22:45 UTC 최초 게시, 11월 13일 21:15 UTC 마지막 업데이트, 11월 14일 확인) — connectwise.com
- 조사한 보안 업체의 공식 블로그(2026년 11월 11일 게시, 11월 13일 22:30 UTC 업데이트, 11월 14일 확인, 업체 자체 고객 환경에서의 관측) — huntress.com
업데이트 기록
2026-11-14: 조사한 보안 업체가 확인한 수(11월 11일 조직 48곳의 엔드포인트 최소 288대, 11월 13일 조직 41곳의 엔드포인트 205대)를 추가하고 ConnectWise의 11월 13일 업데이트(21:15 UTC)를 반영했습니다: 확장 기능 3개 추가 비활성화, 온프레미스 파트너는 즉시 비활성화해야 함. 이 수는 그 업체 자체 고객 범위의 수이며 피해자의 총수가 아닙니다.
2026-11-13: 첫 버전. 11월 12일(18:45 UTC) 업데이트된 ConnectWise 권고를 바탕으로 했습니다. 더 많은 정보가 공개되면 업데이트합니다.
다음으로 읽을 글
- 비슷한 원격 관리 도구 사건: 테스트 코드 공개 후 악용된 것으로 보도된 N-able N-central 취약점
- 같은 회사의 다른 제품 사건: ConnectWise Cloud Backup과 Microsoft 365
- 계정 보호: 다중 인증 가이드 / 피싱이란?
- 2026년 기타 사건: 2026년의 데이터 유출과 사이버 공격