대상 독자: VPN 장비, 방화벽, 이메일 게이트웨이 등 엣지 장비(내부 네트워크와 인터넷 사이에 놓이는 장비)를 운영하는 네트워크 및 보안 담당자. 이 페이지는 벤더의 보안 권고와 CISA의 공개 데이터를 바탕으로 합니다. 공격이 작동하는 방식은 다루지 않습니다.
진행 중: 새로운 내용이 공개되면 이 페이지를 갱신합니다
2026년 10월 24일 기준아직 알려지지 않음
- 코드 라인별 Ivanti Connect Secure 수정 릴리스(이 사이트는 Ivanti 권고의 본문을 확인하지 못했습니다)
- 보고된 Ivanti Connect Secure 권한 상승 결함의 수정
- 각 결함으로 영향을 받은 조직의 수
5건의 결함은 모두 KEV에 등재되어 있으며 각 벤더가 수정 사항을 배포했습니다. Ivanti Connect Secure의 경우, 같은 공격에 사용된 권한 상승 결함의 수정은 아직 나오지 않은 것으로 보고되었습니다. 권고가 개정되면 이 페이지를 갱신합니다.
간단 점검: 해당되나요?
표에는 각 결함이 KEV에 추가된 날짜(CISA의 악용 확인 취약점 카탈로그)와 KEV에 기록된 미국 연방기관 대상 기한이 나와 있습니다.
| 제품 | CVE | 로그인 필요 | KEV 추가 / 기한 | 조치 |
|---|---|---|---|---|
| Ivanti Connect Secure (VPN) | CVE-2026-104935 | 아니요 | 10월 13일 / 10월 16일 | 업그레이드, 침해 여부 조사 |
| Palo Alto Networks PAN-OS (방화벽) | CVE-2026-0322 | 예 (높은 권한) | 10월 14일 / 10월 17일 | 업그레이드, 관리 접근 제한 |
| Fortinet FortiOS 외 | CVE-2025-61624 | 예 (관리자) | 10월 16일 / 10월 19일 | 업그레이드, 7.2 이하에서 이전 |
| Cisco Secure Email Gateway | CVE-2026-76519 | 아니요 | 10월 14일 / 10월 17일 | Content Scanner Tools 또는 AsyncOS 업데이트 |
| Atlassian Data Center 제품 | CVE-2026-21589 | 아니요 | 10월 15일 / 10월 18일 | 업그레이드, 외부 접근 제한 |
10월 13일
Ivanti 추가 (기한 16일)
10월 14일
PAN-OS, Cisco 추가 (기한 17일)
10월 15일
Atlassian 추가 (기한 18일)
10월 16일
Fortinet 추가 (기한 19일)
Ivanti Connect Secure (CVE-2026-104935)
- 유형
- 스푸핑을 통한 인증 우회(CWE-290). 원격의 비인증 공격자가 임의의 명령을 실행할 수 있음
- 심각도
- CVSS v3.1 8.6
- 영향 버전
- 25.1.1.1 이하, 25.1.2.2 이하, 22.8R2.4 이하 (CISA 경보)
- 수정
- 사용 중인 코드 라인의 수정 릴리스는 Ivanti 권고에서 확인
- 악용
- Ivanti는 공개 당시 제한적인 실제 악용을 인지하고 있다고 밝혔음. CISA는 10월 13일 KEV에 추가했으며 자격 증명 탈취와 데이터 유출에 사용되고 있다고 밝힘
Ivanti는 10월 13일 권고를 게시했으며, 같은 날 블로그 글에서 영향받는 버전을 사용하는 고객에게 수정 버전으로 즉시 업그레이드하고 Integrity Checker Tool을 정기적으로 실행할 것을 요청했습니다. 이 사이트는 Ivanti 권고의 본문을 확인하지 못했으므로 수정 버전 번호는 싣지 않았습니다. 사용 중인 코드 라인의 수정 릴리스는 권고에서 확인하십시오. CISA에 따르면 22.8 라인은 2027년 1월 31일에 지원이 종료됩니다.
CISA는 공격자의 명령이 메모리에서 실행되기 때문에 Ivanti의 Integrity Checker Tool이 악용을 탐지하지 못할 수 있으며, 침해 여부를 판단하려면 네트워크 및 메모리 포렌식이 필요하다고 밝혔습니다. 침해가 의심되는 경우 CISA는 다음을 권고합니다.
설정 백업
장비 설정을 백업합니다.
공장 초기화 후 업그레이드
장비를 공장 초기 상태로 되돌리고 최신 버전으로 업그레이드합니다. 가상 및 클라우드 시스템은 인스턴스를 다시 구축한 뒤 업그레이드합니다.
설정 복원
백업에서 설정을 복원합니다.
자격 증명 교체
모든 도메인, 관리자, 로컬 계정의 비밀번호를 재설정하고, 저장된 인증서를 폐기 후 재발급하며, 저장된 API 키와 라이선스 서버 자격 증명을 재설정합니다.
보고되었으나 확인되지 않음
공격을 조사한 미국의 한 보안 업체는 10월 13일 글에서 10월 3일부터 악용을 확인했으며, 공격이 인증 우회, 파일 쓰기, 권한 상승의 세 가지 결함을 연계했다고 썼습니다. 또한 Ivanti가 앞으로 몇 주 안에 나올 릴리스에서 권한 상승 결함을 수정할 계획이라고 밝혔습니다. 이 사이트는 Ivanti 권고 본문에서 이를 확인하지 못했습니다. 업그레이드 후에도 Ivanti의 다음 권고를 계속 주시하십시오.
Palo Alto Networks PAN-OS (CVE-2026-0322)
- 유형
- 관리 인터페이스의 코드 인젝션(CWE-94). 인증된 공격자가 방화벽에서 root 권한으로 임의의 코드를 실행할 수 있음
- 심각도
- CVSS v4.0 8.6, 관리 접근을 점프 박스로 제한하면 8.5
- 조건
- 관리 인터페이스에 대한 네트워크 접근과 높은 권한 로그인. 특별한 설정은 필요 없음
- 영향 버전
- PA-Series, VM-Series, Panorama의 PAN-OS 10.2, 11.1, 11.2, 12.1, 12.2
- 영향 없음
- Cloud NGFW와 Prisma Access (조치 불필요)
- 악용
- Palo Alto Networks는 관리 인터페이스를 노린 매우 제한적인 악용을 확인했다고 밝힘
수정 릴리스는 트레인과 핫픽스(-h) 수준별로 세분화되어 있습니다. 각 트레인의 최신 기준은 12.2.4 이상, 12.1.10-h2 이상, 11.2.16 이상, 11.1.16-h3 이상, 10.2.18-h12 이상입니다. 중간 버전의 핫픽스 릴리스(예: 11.2.13-h3)는 권고의 표에서 확인하십시오. 지원이 종료된 버전은 지원되는 수정 릴리스로 옮기십시오.
권고에는 알려진 우회 방법이 없다고 되어 있습니다. 관리 인터페이스가 인터넷에서 접근 가능할 때 위험이 가장 크며, 벤더는 신뢰할 수 있는 내부 IP 주소에서만 관리 접근을 허용하라고 권고합니다. Threat Prevention 고객은 Threat ID 510046과 510047로 제한적인 보호를 받을 수 있으나 SSL 복호화가 필요합니다. 업그레이드가 권장되는 해결책입니다.
Fortinet FortiOS 외 (CVE-2025-61624)
- 유형
- CLI의 경로 탐색(CWE-22). 권한이 있는 공격자가 기존 명령에 조작된 인수를 전달해 임의의 파일을 쓰거나 삭제할 수 있음
- 심각도
- CVSS v3 6.0 (Fortinet은 Medium으로 평가)
- 조건
- 관리자 로그인. KEV는 최소한 읽기-쓰기 권한이 있는 관리자 프로필이 필요하다고 밝힘
- 공개
- 2026년 4월 14일(최초 권고). 10월 16일 KEV에 추가
- 악용
- 권고에는 추가 설명 없이 Known Exploited: Yes로 표시되어 있음
이 결함은 6개월 전에 공개되었고 이제야 KEV에 추가되었습니다. 4월에 중간 심각도이며 관리자 전용이라는 이유로 미뤄 두었다면 지금 다시 검토하십시오.
| 제품 | 영향 버전 | 조치 |
|---|---|---|
| FortiOS 7.6 | 7.6.0~7.6.4 | 7.6.5 이상으로 업그레이드 |
| FortiOS 7.4 | 7.4.0~7.4.9 | 7.4.10 이상으로 업그레이드 |
| FortiOS 7.2, 7.0, 6.4 | 모든 버전 | 수정 릴리스로 이전 |
| FortiProxy 7.6 / 7.4 | 7.6.0-7.6.4 / 7.4.0-7.4.11 | 7.6.5+ / 7.4.12+ (7.2, 7.0에서 이전) |
| FortiPAM 1.7 | 1.7.0 | 1.7.1+ (1.6 이하에서 이전, 1.8은 영향 없음) |
| FortiSwitchManager 7.2 / 7.0 | 7.2.0-7.2.7 / 7.0.0-7.0.6 | 7.2.8+ / 7.0.7+ |
권고에는 우회 방법이 없습니다. Fortinet은 가상 패치(FortiGuard 시그니처)를 이용할 수 있다고 밝혔습니다. 관리자 계정이 전제 조건이므로 관리 인터페이스에 접근할 수 있는 대상을 제한하고, 사용하지 않는 관리자 계정을 비활성화하며, 관리자 로그인에 다중 인증을 요구하십시오(이 사이트의 권고).
Cisco Secure Email Gateway (CVE-2026-76519)
- 유형
- 상대 경로 탐색(CWE-23)을 통한 임의 파일 쓰기. 조작된 첨부 파일이 있는 이메일로 발생하며 root 권한의 명령 실행으로 이어질 수 있음
- 심각도
- CVSS v3.1 9.8
- 조건
- 로그인 불필요. File Reputation(Cisco AMP의 일부)이 활성화되어 메일 정책에 할당되어 있고, Content Scanner Tools가 25.3.0.5525 이전인 경우에만 영향
- 수정
- Content Scanner Tools 25.3.0.5525 이상(재시작 불필요), 또는 AsyncOS 15.5.5-014 또는 16.5.0-780. 16.0 및 16.5 이전 릴리스는 16.5.0-780으로 이전
- 영향 없음
- Secure Email and Web Manager, Secure Web Appliance. Cisco는 클라우드 서비스를 수정했으며 고객이 업데이트할 필요는 없다고 밝혔으나, 침해 지표가 있는 고객에게는 연락했고 자격 증명과 키를 갱신할 것을 권고함
- 악용
- Cisco PSIRT는 2026년 10월에 활발한 악용을 인지했다고 밝힘
우회 방법은 없습니다. 메일 수신 측을 막을 수는 없지만, Cisco의 보안 강화 조언은 관리 트래픽과 메일 트래픽을 서로 다른 네트워크 인터페이스로 분리하고 알려진 신뢰 호스트만 장비에 접근하게 하는 것입니다. 웹 인터페이스에서 메일 정책의 Advanced Malware Protection 설정 아래 Enable File Reputation이 선택되어 있는지 확인하고, CLI(contentscannerstatus)에서 Content Scanner Tools 버전을 확인하십시오. 영향을 받는다면 Content Scanner Tools를 업데이트하십시오. 자동 업데이트를 켜 두면 다음 수정이 더 빨리 적용됩니다.
Cisco 권고에는 시스템 로그에서 침해 징후를 확인하는 절차가 포함되어 있으므로 모든 클러스터 구성원에서 실행하십시오. 지표가 발견되거나 검사가 완료되지 않으면 Cisco TAC에 문의하라고 합니다. root 권한으로는 공격자가 증거를 숨길 수 있으므로, Cisco는 외부 주소로의 의심스러운 업로드가 있는지 네트워크 및 방화벽 로그를 검토할 것도 권고합니다.
Atlassian Data Center 제품 (CVE-2026-21589)
10월 5일 Atlassian은 비인증 공격자가 웹 애플리케이션 루트 내의 특정 파일을 읽을 수 있는 결함을 공개했습니다. 대상은 Bitbucket, Confluence, Jira Software, Jira Service Management, Bamboo, Crowd Data Center의 모든 버전과 Crucible, Fisheye입니다(CVSS v4.0 9.3, Atlassian의 평가). 10월 15일 KEV에 추가되었습니다. Atlassian은 고객 인스턴스가 영향을 받았는지 확인할 수 없다고 밝혔으며, 보안팀에 침해 징후를 확인하도록 요청할 것을 권고합니다. 클라우드 제품은 패치되었습니다.
수정 버전은 제품마다 다릅니다(예: Confluence Data Center 9.2.26 및 10.2.19, Jira Software Data Center 9.12.40, 10.3.26 및 11.3.12). 바로 업그레이드할 수 없다면 Atlassian은 인스턴스를 인터넷에서 분리하거나 외부 접근을 제한하고, WAF 또는 리버스 프록시 규칙으로 의심스러운 URL을 차단할 것을 제안합니다.
이 5건의 공통점
5건 모두 인터넷에서 접근 가능한 장비나 서버에 있으며, 악용되면 공격자에게 내부 네트워크로 들어가는 경로를 줄 수 있습니다. 로그인이 필요한 PAN-OS와 FortiOS도 관리 인터페이스가 인터넷에 열려 있다면 관리자 비밀번호 하나가 탈취되는 순간 악용될 수 있습니다.
다음에도 같은 일이 반복되는 운영 방식
- 인터넷 어디에서나 접근 가능한 관리 인터페이스
- 패치를 적용하면 작업이 끝났다고 보는 것
- 로그인이 필요하다는 이유로 결함을 미루는 것
- 어떤 제품과 버전을 운영하는지 목록이 없음
다음에 피해를 줄이는 운영 방식
- 관리자 네트워크나 VPN을 통해서만 접근 가능한 관리 인터페이스
- 업그레이드 전에 로그를 보존하고 벤더 안내로 침해 여부를 확인
- 로그인 필요 여부와 관계없이 KEV 등재 결함을 며칠 안에 수정
- 엣지 장비, 버전, 관리 인터페이스 노출 현황 목록
이 사이트의 견해로는 엣지 장비는 패치했다고 끝난 것이 아닙니다. Ivanti Connect Secure에 대해 CISA는 벤더 자체의 점검 도구가 악용을 놓칠 수 있다고 썼고, 수정되지 않은 추가 결함도 보고되었습니다. 패치는 침입 경로를 막을 뿐 이미 들어온 공격자를 제거하지는 못합니다. KEV에 등재된 엣지 장비는 업그레이드, 침해 여부 확인, 자격 증명 교체를 하나의 작업으로 취급하십시오.
노출된 관리 인터페이스를 찾는 방법은 VPN 장비와 원격 접속을 방어하는 방법에서, KEV를 이용해 우선순위를 정하는 방법은 어떤 CVE를 먼저 수정할지 정하는 방법 (CVSS, EPSS, KEV)에서 다룹니다. 같은 달에 SD-WAN 관리 플랫폼도 악용되었습니다(VeloCloud Orchestrator CVE-2026-114625).
출처
- CISA, Known Exploited Vulnerabilities Catalog (JSON 피드, 2026년 10월 23일 버전) — cisa.gov
- CISA, "CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure" (2026년 10월 13일) — cisa.gov
- Ivanti, Security Advisory Ivanti Connect Secure (CVE-2026-104935) — hub.ivanti.com
- Ivanti, "October 2026 Security Update" (2026년 10월 13일) — ivanti.com
- Singapore CSA, "Active Exploitation of Vulnerability in Ivanti Connect Secure" (AL-2026-147) — csa.gov.sg
- 미국 보안 업체의 Ivanti Connect Secure 공격 분석 (2026년 10월 13일) — 보안 업체 블로그
- Palo Alto Networks, "CVE-2026-0322 PAN-OS: Authenticated Remote Code Execution (RCE) in the Management Interface" — security.paloaltonetworks.com
- Fortinet, FG-IR-26-122 "Path Traversal in CLI" (CVE-2025-61624) — fortiguard.fortinet.com
- Cisco, "Cisco Secure Email Gateway Arbitrary File Write Vulnerability" (cisco-sa-esa-afw-zqYJkjxp) — cisco.com
- Atlassian, "CVE-2026-21589 - Arbitrary File Access Vulnerability impacts Multiple Products" — confluence.atlassian.com
업데이트 이력
2026-10-24: 최초 게시. 벤더 권고와 CISA의 KEV 카탈로그 및 경보를 바탕으로 작성.
함께 읽기
- 노출된 장비 방어: VPN 장비와 원격 접속을 방어하는 방법
- 수정 우선순위: 어떤 CVE를 먼저 수정할지 정하는 방법 (CVSS, EPSS, KEV)
- 같은 달 악용: VeloCloud Orchestrator CVE-2026-114625
- 침해 여부 확인: 서버가 침해되었는지 확인하는 방법
- 용어: 경로 탐색이란? / CVSS란?