대상 독자: Ivanti Connect Secure(VPN 어플라이언스) 관리자. 이 페이지는 CISA의 KEV 카탈로그와 경보, NVD, 연구 업체의 블로그를 근거로 하며, 공격 절차나 익스플로잇 코드는 포함하지 않습니다. Ivanti 자체 공지는 읽을 수 없었으므로(페이지가 로드되지 않음) 수정된 버전 번호는 여기에 제시하지 않습니다.
진행 중: 더 많은 정보가 공개되는 대로 이 페이지를 업데이트합니다
2026년 10월 31일 기준(JST)아직 알려지지 않음
- 세 가지 취약점 각각의 수정 버전(Ivanti의 공지를 읽을 수 없었음)
- CVE-2026-118527의 수정이 있는지
- CVE-2026-118527에 대한 NVD 기록(확인 시점에는 NVD에서 찾지 못함)
- 피해 조직의 수와 공격의 배후
CISA는 10월 30일 CVE-2026-111357과 CVE-2026-118527을 KEV 카탈로그에 추가하고 같은 날 경보를 업데이트했습니다. CVE-2026-104935는 10월 13일에 추가되었습니다. 우리는 10월 31일 CISA의 KEV 피드, CISA의 경보, NVD, 연구 업체의 블로그를 확인했습니다.
오늘 할 일
Connect Secure 어플라이언스와 버전을 목록화하세요
가상 어플라이언스와 클라우드 어플라이언스를 포함하세요. CISA는 25.1.1.2 이하, 25.1.2.2 이하, 22.8R2.5 이하를 영향 버전으로 나열합니다. CISA에 따르면 22.8 버전은 2027년 1월 31일 수명이 종료되므로, 25.x로의 이전도 계획하세요.
최신 버전으로 업데이트하세요
CISA는 조직에 Ivanti의 공지와 25.x 업그레이드 및 마이그레이션 호환성 가이드에 나온 대로 최신 버전으로 업데이트하라고 지시합니다. 우리는 공지를 읽을 수 없었으므로, 시작하기 전에 내 트레인의 수정 버전을 그곳에서 확인하세요.
패치만이 아니라 침해 여부도 확인하세요
연구 업체와 CISA는 모두 Integrity Checker Tool이 CVE-2026-104935의 악용을 놓칠 수 있다고 밝혔습니다. CISA는 침해 여부를 판단하려면 네트워크와 메모리 포렌식이 필요하다고 말합니다. 어플라이언스가 10월 초 이후 인터넷에서 접근 가능했다면, 업데이트 전이나 업데이트와 함께 인시던트 대응 업체에 이를 요청하세요(우리의 판단). 연구 업체가 제안하듯이, 어플라이언스에서 시작된 횡적 이동 시도도 검토하세요.
침해가 의심되면 재구축하고 자격 증명을 재설정하세요
10월 13일 경보의 CISA 지침이 이를 다룹니다: 구성을 백업하고, 초기 상태로 재설정한 뒤 업그레이드하고(가상 및 클라우드 어플라이언스는 재구축), 구성을 복원한 다음, 자격 증명을 교체하세요. 즉 도메인, 관리자, 로컬 계정의 비밀번호, 어플라이언스에 저장된 인증서, API 키, 라이선스 서버 자격 증명입니다.
확신할 때까지 접근 가능한 범위를 차단하세요
어플라이언스의 관리 인터페이스를 관리용 네트워크로 제한하고, 어플라이언스가 내부 네트워크에서 무엇에 닿을 수 있는지 검토하세요. 오프라인으로 전환해야 할 경우 원격 근무자가 어떻게 접속할지 미리 정해 두세요.
연계되는 세 가지 취약점
- CVE-2026-104935
- 스푸핑에 의한 인증 우회. 원격 비인증 공격자가 임의의 명령을 실행할 수 있음(CISA KEV, 10월 13일 추가). 우리의 10월 종합에서 다룸
- CVE-2026-111357
- 핵심 기능에 대한 인증 누락(CISA). NVD는 root로의 권한 상승으로 이어지는 결함이라고 설명. CVSS v3.1 7.0(로컬, 높은 복잡도, 낮은 권한). 10월 30일 KEV 추가, 기한 11월 2일, 포렌식 분류: 예
- CVE-2026-118527
- 예측 가능한 식별자 생성(CWE-340). 원격 인증된 공격자가 공격자가 통제하는 내용의 파일을 디스크의 알려진 위치에 업로드할 수 있음. 10월 30일 KEV 추가, 기한 11월 13일, 포렌식 분류: 아니오
- 연계
- CISA는 CVE-2026-111357과 CVE-2026-118527이 각각 CVE-2026-104935와(그리고 서로) 연계될 수 있다고 밝힘. CISA는 악용으로 원격 비인증 임의 명령 실행이 가능해지며 자격 증명 탈취와 데이터 유출에 쓰인다고 밝힘
- 영향 버전
- 25.1.1.2 이하, 25.1.2.2 이하, 22.8R2.5 이하(CISA 경보, 10월 30일 업데이트)
- 수정
- CVE-2026-104935: 10월 13일 패치 공개(연구 업체). CVE-2026-111357: 연구 업체는 10월 29일 패치가 게시되었다고 함. CVE-2026-118527: 찾지 못함. Ivanti의 공지에서 확인할 것
CVSS 점수가 7.0에 불과한 이유: CVE-2026-111357은 단독으로는 로컬 접근과 낮은 권한의 계정이 필요합니다. 점수는 연계를 반영하지 않습니다. 연구 업체의 보고에 따르면 인증 우회, 파일 처리 결함, 이 권한 상승을 결합하면 당시 완전히 패치된 어플라이언스(22.8R2.4)에서 비인증으로 root 수준의 통제권을 얻을 수 있었습니다. 위험은 단일 점수가 아니라 연계로 판단하세요(우리의 판단).
버전 목록은 정확히 일치하지 않습니다. CVE-2026-111357에 대한 NVD 설명은 22.8R2.4를 지명하는 반면, NVD의 영향 목록에는 22.8R2부터 22.8R2.5와 25.1.1.3 이전의 25.1 릴리스가 포함됩니다. CISA의 목록은 더 넓습니다(25.1.2.2 이하). Ivanti의 공지가 정리해 줄 때까지 가장 넓은 목록을 사용하세요.
1. 인증 우회
CVE-2026-104935(KEV 10월 13일)
2. 파일 업로드
CVE-2026-118527(KEV 10월 30일)
3. root로의 권한 상승
CVE-2026-111357(KEV 10월 30일)
타임라인
10월 3일
미국의 한 연구 업체는 악용이 시작되는 것을 확인했다고 밝혔습니다(10월 13일 게시된 블로그).10월 13일
연구 업체에 따르면 Ivanti가 인증 우회에 대한 패치를 공개하고, CISA가 CVE-2026-104935를 KEV에 추가하고, 연구 업체가 조사 결과를 공개합니다.10월 29일
연구 업체가 블로그를 업데이트해 Ivanti가 권한 상승에 대한 패치를 게시했다고 밝힙니다.10월 30일
CISA가 CVE-2026-111357(기한 11월 2일)과 CVE-2026-118527(기한 11월 13일)을 KEV에 추가하고 경보와 영향 버전을 업데이트합니다.
알려진 것과 알려지지 않은 것
| 항목 | 상태 |
|---|---|
| 악용 | CISA가 세 가지 모두 KEV에 나열. 공격자는 자격 증명과 데이터를 훔치는 것으로 알려짐 |
| 악용 시작 시점 | 한 연구 업체에 따르면 10월 3일. 우리가 읽을 수 있었던 범위에서는 Ivanti가 확인하지 않음 |
| 수정 버전 | 우리가 확인하지 못함. Ivanti의 공지가 로드되지 않았음 |
| CVE-2026-118527 수정 | 찾지 못함 |
| CVE-2026-111357의 NVD | 분석됨. CVSS 7.0은 CVE.org 기록이 제공. CISA 조정자는 악용을 "active", 기술적 영향을 "total"로 표시 |
| CVE-2026-118527의 NVD | 확인 시점에 기록을 찾지 못함 |
| 누가 공격하는지, 피해자가 몇 명인지 | 공개되지 않음 |
출처
2026년 10월 31일(JST) 확인.
- CISA, 알려진 악용 취약점 카탈로그(2026년 10월 30일 CVE-2026-111357과 CVE-2026-118527 추가) — cisa.gov
- CISA, "CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure"(2026년 10월 30일 업데이트) — cisa.gov
- NVD, CVE-2026-111357 — nvd.nist.gov
- Ivanti, "Security Advisory Ivanti Connect Secure (CVE-2026-104935)" — hub.ivanti.com (확인 시점에 로드되지 않음. 수정 버전은 여기서 확인해야 함)
- 보안 연구 업체 블로그, "A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days"(2026년 10월 13일, 10월 29일 업데이트) — 블로그
업데이트 기록
2026-10-31: CISA의 KEV 카탈로그와 경보, NVD, 연구 업체의 블로그를 바탕으로 한 첫 버전.
다음으로 읽을 글
- 연계의 첫 번째 취약점: 악용된 엣지 장치 취약점, 2026년 10월 중순
- VPN 장치 방어: VPN 장치와 원격 접속을 방어하는 방법
- 수정 우선순위: 어떤 CVE부터 고칠지 정하는 방법(CVSS, EPSS, KEV)
- 대응 절차: 취약점 조치 플레이북
- 용어: CVSS란?