대상: VMware ESX(ESXi) 또는 vCenter를 운영하는 분(호스트가 몇 대뿐인 소규모 팀 포함), 호스팅 또는 프라이빗 클라우드 플랫폼을 관리하는 모든 분. 이 글은 Broadcom의 권고 VMSA-2026-0006, CISA의 카탈로그 데이터, NVD 기록, 한 보안 업체의 보고서를 바탕으로 작성되었습니다. 공격 절차나 익스플로잇 코드는 다루지 않습니다.
진행 중: 추가 정보가 공개되는 대로 이 페이지를 업데이트합니다
2026년 10월 30일 기준아직 알려지지 않음
- 이 결함이 관리자에게 숨기도록 허용하는 작업(Broadcom은 세부 사항을 제공하지 않음)
- 보안 업체의 보고서 외에 영향을 받은 조직의 수
- CISA나 Broadcom이 악용에 대해 더 공개할지 여부
Broadcom은 2026년 7월 29일 수정 사항과 함께 VMSA-2026-0006을 게시했습니다. CISA는 10월 28일(미국 시간) CVE-2026-41709를 KEV 카탈로그에 추가했고, 기한은 11월 11일이며 악용에 관한 세부 사항은 제공하지 않았습니다.
진입: vCenter(CVE-2026-59309 / 59310)
인증 우회, 코드 실행. 수정: vCenter 업데이트
ESX 호스트의 관리자 접근
계정, 접근 설정, 가상 머신을 살펴보세요
은폐: ESX 로깅(CVE-2026-41709)
일부 작업이 기록되지 않음. 수정: ESX 업데이트; 로그를 다른 곳에 보관
오늘 해야 할 일
ESX와 vCenter 버전을 목록으로 만드세요
각 호스트의 빌드 번호와 vCenter 버전을 적어 두세요. 아래 표의 수정 빌드와 비교하세요. 서비스 제공업체나 하드웨어 제조사 번들이 관리하는 호스트는 그쪽의 확인이 필요합니다.
권고 전체에 대한 업데이트를 계획하세요
미국 연방 기관에 대한 CISA의 기한은 11월 11일입니다. ESX만 하지 말고 ESX 수정과 vCenter 수정을 함께 적용하세요. vCenter 결함은 9.8로 평가되며, 하나는 이미 8월에 악용 중으로 등재되었습니다.
로그를 별도 서버로 보내세요
ESXi syslog와 vCenter syslog를 하이퍼바이저 관리자가 편집할 수 없는 로그 서버로 전달하도록 설정하세요. 이것이 결함이 숨기는 작업을 기록하지는 못하지만, 주변 기록을 삭제로부터 안전하게 지키고 빠진 구간이 보이게 합니다(이 사이트의 견해).
호스트 로그에 의존하지 않고 침해를 점검하세요
각 호스트와 vCenter에 어떤 계정이 있는지, SSH나 셸이 활성화되어 있는지와 누가 활성화했는지, 모르는 가상 머신, 설치하지 않은 소프트웨어 패키지, 설명할 수 없는 관리 네트워크의 연결을 살펴보세요. vCenter의 작업 및 이벤트 기록을 호스트 자체 로그와 비교해 공백을 찾으세요. 무언가 발견되면 호스트와 vCenter가 침해된 것으로 취급하고 웹사이트나 서버가 침해되었는지 확인하는 방법을 참고하세요.
관리에 접근할 수 있는 사람을 제한하세요
우회 방법이 없으므로, ESX와 vCenter 관리 인터페이스는 인터넷에 노출하지 말고, 전용 관리 네트워크에서만 접근할 수 있게 하며, 가능하면 다단계 인증으로 보호하세요.
수정된 버전
| 제품 계열 | CVE-2026-41709 수정 |
|---|---|
| ESX 9.1 | ESXi-9.1.0.0-25370933 |
| ESX 9.0 | ESXi-9.0.2.0100-25595025 |
| ESX 8.0 | ESXi80U3j-25429389(업데이트 3j) |
| VMware Cloud Foundation 5.x | 5.2.4 |
| Telco Cloud Platform 5.0.x 및 5.1.x | KB449886 |
ESX 7.0은 권고와 NVD 기록 어디에서도 이 CVE에 대해 나열되지 않았습니다. Broadcom은 같은 권고의 Critical 결함에 대해 7.0 지침을 제시하며 이는 확장 지원 계약으로 이용할 수 있으므로, 7.0을 쓴다면 Broadcom 지원에 문의하세요.
같은 권고는 다음도 수정합니다. 사용하는 계열의 빌드 번호는 권고 자체를 참고하세요.
| CVE | 제품 | 문제 | CVSS | 수정(예) |
|---|---|---|---|---|
| CVE-2026-59309 | vCenter | 인증 우회 | 9.8 | 9.1.0.0300, 9.0.2.0100, 8.0 U3k |
| CVE-2026-59310 | vCenter | syslog 서버의 디렉터리 순회, 코드 실행 가능 | 9.8 | 같은 vCenter 빌드. 8월 18일부터 CISA KEV |
| CVE-2026-47876 | ESX | VMXNET3 네트워크 어댑터의 경계 밖 쓰기, VM의 로컬 관리자 필요 | 9.3 | ESXi-9.1.0.0200-25557999, ESXi-9.0.2.0100-25595025, ESXi80U3k-25595708 |
| CVE-2026-41703 | ESX | 경계 밖 읽기, VM 배포 권한 필요 | 7.6 | ESXi-9.1.0.0-25370933, ESXi-9.0.2.0100-25595025, ESXi80U3i-25205845 |
CVE-2026-41709를 수정하는 ESX 8.0 빌드(업데이트 3j)는 CVE-2026-47876을 수정하는 빌드(업데이트 3k)와 같지 않습니다. 사용하는 계열의 목록에 있는 최신 빌드로 옮기는 것이 모두를 포괄하는 가장 간단한 방법이지만, 각 CVE를 권고와 대조해 확인하세요(이 사이트의 견해). 8.0 U2f의 경우 권고는 CVE-2026-47876에 대한 별도 빌드(ESXi80U2f-25626445)를 제시하지만 CVE-2026-41709의 수정으로는 제시하지 않으므로, U2f를 쓴다면 권고를 확인하세요. 또한 Broadcom의 본문과 계산기 링크는 CVE-2026-47876의 CVSS 벡터에 대해 서로 일치하지 않습니다.
공개된 내용
- CVE
- CVE-2026-41709, Broadcom 권고 VMSA-2026-0006
- 유형
- 불충분한 로깅(CISA 카탈로그의 CWE-778)
- 심각도
- CVSS v3.1 2.7, Low(네트워크, 높은 권한 필요, 낮은 무결성 영향). 점수는 CVE 출처인 Broadcom 기준
- 영향
- 악의적인 관리자가 특정 작업을 로그에 기록되지 않은 채 수행할 수 있음. Broadcom은 어떤 작업인지 밝히지 않음
- 영향을 받는 제품
- ESX 9.1, 9.0, 8.0; 5.2.4 미만의 VMware Cloud Foundation 9.x 및 5.x; vSphere Foundation 9.x; Telco Cloud Platform 5.0.x 및 5.1.x
- 수정
- 위 표 참조. 권고 날짜는 2026년 7월 29일, NVD 기록은 7월 30일 게시. 우회 방법 없음
- 보고자
- Broadcom은 한 보안 업체의 연구원을 보고자로 명시함
- 악용 확인
- 2026년 10월 28일(미국 시간) "Broadcom VMWare ESX Insufficient Logging Vulnerability"로 CISA KEV 카탈로그에 추가됨. 기한 11월 11일. 랜섬웨어 사용: 알 수 없음. 카탈로그 항목은 포렌식 분류(triage)를 필수로 표시하지 않음
권고는 세부 사항이 부족하며, 이 사이트가 확인한 출처에서는 정확한 작업이 공개되어 있지 않습니다. 아래는 업체의 발표가 아니라 이 사이트의 해석입니다: 이 결함은 관리자 접근이 필요하므로 침입 이후에 쓰는 도구이며, 공격자에게 가치는 호스트의 기록이 불완전할 수 있다는 점에 있습니다.
악용
CISA의 카탈로그는 악용을 확인하지만 누가 어떻게 영향을 받았는지에 대한 세부 사항은 제공하지 않습니다. SecurityWeek이 10월 29일 보도한, 한 보안 업체의 법률 분야 대상 2026년 위협 보고서에 따르면 중국과 연계된 그룹이 2026년 초까지 법률 분야 대상을 포함한 미국 조직에 대한 여러 침입에서 이 결함을 제로데이로 사용했으며, SecurityWeek은 그 목적을 감사 추적의 가시성을 줄이는 것이라고 설명합니다. 보고서는 2025년 9월부터 2026년 8월까지의 활동을 다룹니다. Broadcom은 같은 업체의 연구원이 이 결함을 보고했다고 밝힙니다. 이 사이트는 보고서의 데이터를 검증하지 않았으며 활동의 배후가 누구인지도 평가하지 않습니다. 한 회사의 설명으로 취급하세요.
방어하는 입장에서 실질적인 점은 시기입니다. 해당 업체는 사용 시기를 7월 29일 수정보다 몇 달 앞선 2026년 초까지라고 설명합니다. 패치되기 전에 공격자가 접근할 수 있었던 호스트는 지금 최신 상태이더라도 영향을 받았을 수 있습니다(이 사이트의 견해). 그 기간에 호스트나 vCenter가 인터넷이나 신뢰할 수 없는 네트워크에 노출되어 있었다면 패치만 하지 말고 점검하세요.
아직 알려지지 않은 내용
| 항목 | 상태 |
|---|---|
| 어떤 작업이 기록되지 않는지 | Broadcom이 밝히지 않음 |
| 영향을 받은 조직의 수 | 보안 업체의 설명뿐; 검증되지 않음 |
| 랜섬웨어 사용 | CISA는 알 수 없음으로 표시 |
| ESX 7.0 | 이 CVE에 대해 나열되지 않음; 권고의 Critical 결함에는 별도의 7.0 지침이 있음 |
출처
2026년 10월 30일 확인(Broadcom 권고 개정 .2, CISA 카탈로그 데이터, NVD 기록).
- Broadcom, "VMSA-2026-0006"(개정 .2, 2026년 8월 19일 갱신) — support.broadcom.com
- CISA, Known Exploited Vulnerabilities Catalog(CVE-2026-41709 항목, 2026년 10월 28일 추가, 그리고 CVE-2026-59310 항목, 2026년 8월 18일 추가) — cisa.gov
- NVD, "CVE-2026-41709" — nvd.nist.gov
- 한 보안 업체의 2026년 법률 분야 위협 현황 보고서(블로그 요약, 영어) — 보고서 페이지
- SecurityWeek, "Chinese Hackers Quietly Used Low-Severity ESXi Logging Flaw as Zero-Day"(2026년 10월 29일) — securityweek.com
업데이트 기록
2026-10-30: 최초 버전. Broadcom의 VMSA-2026-0006(개정 .2), CISA의 10월 28일 KEV 등재, NVD 기록을 바탕으로 작성.
다음으로 읽기
- 점수와 등재가 어긋날 때 우선순위를 정하는 방법: 무엇을 먼저 패치할지 정하기: CVSS, EPSS, KEV
- 이번 달 악용된 다른 엣지 장비: 악용된 엣지 장비 취약점, 2026년 10월 중순
- 서버 점검: 웹사이트나 서버가 침해되었는지 확인하는 방법
- 취약점이 발표되었을 때: CVE 대응 플레이북
- 용어: CVSS란?