CVE-2026-0300: 국가 지원 해커들, 팔로알토 방화벽 공격
팔로알토 네트웍스의 PAN-OS 소프트웨어에서 발견된 심각한 제로데이 취약점이 국가 지원 위협 행위자로 의심되는 세력에 의해 적극적으로 악용되고 있다고 회사 측이 확인했다. CVE-2026-0300으로 추적되는 이 결함은 인증되지 않은 공격자가 인터넷에 노출된 방화벽에서 임의 코드를 실행할 수 있게 한다. 인증이 필요 없다는 점과 완전한 코드 실행 권한이 결합된 이번 팔로알토 제로데이 국가 지원 공격은 올해 공개된 기업 수준의 위협 중 가장 심각한 사례 중 하나로 꼽힌다.
팔로알토 네트웍스는 악용 활동을 파악하고 패치 작업을 진행하는 동시에 고객들에게 경고를 발령했다. 공격 대상 패턴은 국가 행위자를 가리키고 있으나, 귀속 주체는 아직 완전히 공개되지 않은 상태다.
CVE-2026-0300의 작동 방식과 비인증 RCE가 위험한 이유
CVE-2026-0300은 PAN-OS의 사용자 ID 인증 포털, 즉 캡티브 포털(Captive Portal) 구성 요소에 존재하는 버퍼 오버플로우 취약점이다. 버퍼 오버플로우는 프로그램이 메모리 버퍼에 허용 용량을 초과하는 데이터를 기록할 때 발생하며, 이로 인해 공격자가 인접한 메모리를 덮어쓰고 악성 명령을 삽입할 수 있다.
이 취약점이 특히 심각한 이유는 악용에 인증이 전혀 필요하지 않다는 점이다. 공격자는 자격 증명을 탈취하거나, 다단계 인증을 우회하거나, 네트워크 내부에서 사전 정찰을 수행할 필요가 없다. 방화벽의 관리 인터페이스나 캡티브 포털이 인터넷에서 접근 가능한 상태라면, 문은 이미 열려 있는 것이다.
방화벽 수준의 원격 코드 실행(RCE)은 조직 입장에서 발생할 수 있는 최악의 상황 중 하나다. 방화벽은 단순한 하나의 장치가 아니다. 그 뒤에 있는 모든 것을 지키는 관문이다. 방화벽 경계에서 RCE 권한을 얻은 공격자는 트래픽을 가로채고, 내부 네트워크로 이동하고, 보안 규칙을 비활성화하거나, 지속적인 백도어를 심을 수 있다. 침해된 방화벽을 패치하는 것은 길고 복잡한 복구 과정의 첫 번째 단계에 불과하다.
공격 배후와 표적이 된 인프라
팔로알토 네트웍스는 악용 활동을 국가 지원 행위자로 의심되는 세력에 귀속시켰으나, 특정 국가나 그룹을 공개적으로 지목하지는 않았다. 기업용 방화벽 인프라를 표적으로 삼는 패턴은 기회주의적 금전 범죄보다 스파이 활동, 장기적인 네트워크 접근, 정보 수집을 목표로 하는 고도로 조직화되고 자원이 풍부한 집단이 사용하는 전술과 일치한다.
이러한 패턴은 새로운 것이 아니다. 국가 행위자들은 라우터, VPN 어플라이언스, 방화벽 등 네트워크 인프라 장치로 점점 더 집중하고 있는데, 이는 이러한 장치들이 모든 조직 방어의 최전선에 위치하기 때문이다. 경계를 침해한다는 것은 가시성을 침해한다는 것을 의미한다.
표적은 인터넷에 노출된 PAN-OS 배포 환경을 사용하는 조직들로, 대기업, 정부 기관, 금융 기관, 핵심 인프라 운영자가 이에 포함된다. 전 세계 53개 표적을 공격한 중국 공산당 연계 해킹 그룹을 구글이 적발한 사례에서 드러났듯이, 국가 지원 캠페인은 여러 부문과 지역에 걸쳐 동시에 대규모로 운용되는 것이 일반적이다.
침해된 방화벽이 그 뒤에 있는 모든 것을 노출시키는 방식
대부분의 사람들은 방화벽 침해를 IT 문제로 생각한다. 실제로는 해당 방화벽 뒤에 있는 모든 사람과 시스템의 문제다.
방화벽이 RCE를 통해 운영 체제 수준에서 침해되면, 공격자는 사실상 네트워크 관리자가 된다. 암호화된 내부 통신이 가로채일 수 있다. 직접 표적이 되지 않았던 엔드포인트 장치들도 갑자기 접근 가능해진다. 자격 증명, 내부 문서, 통신을 포함한 전송 중인 민감한 데이터가 아무런 경보 없이 노출될 수 있다.
원격 근무자를 지원하는 조직의 경우 피해 범위는 더욱 넓어진다. 침해된 방화벽에서 종료되는 VPN 트래픽이 공격자에게 노출될 수 있다. 이것이 심층 방어(defense-in-depth)가 중요한 이유다. 경계 방어가 견고하다고 간주되는 경우에도 종단 간 암호화 도구와 애플리케이션 계층 보안 제어는 여전히 필수적이다.
여기서 얻을 수 있는 더 넓은 교훈은 다른 국가 지원 캠페인에 대한 분석에서 관찰된 내용과 일치한다. 러시아가 Signal을 통해 독일 관리들을 표적으로 한 피싱 공격에 대한 보도에서 다루어진 것처럼, 국가 행위자들은 여러 경로를 동시에 추구한다. 한 경로가 강화되면 다른 경로를 탐색한다. 이러한 인프라 수준의 공격은 사용자 대면 보안 도구의 레이더 아래에서 주로 작동하기 때문에 매력적이다.
조직과 개인이 지금 당장 해야 할 일
팔로알토 네트웍스 인프라를 관리하는 보안 팀에게 즉각적인 우선순위는 명확하다.
첫째, PAN-OS 배포 환경의 캡티브 포털 또는 사용자 ID 인증 포털이 공용 인터넷에 노출되어 있는지 확인하라. 노출되어 있다면 즉시 접근을 제한하라. 팔로알토 네트웍스는 패치가 완성될 때까지의 임시 완화 조치로 관리 인터페이스 접근을 신뢰할 수 있는 IP 범위로 제한할 것을 권고했다.
둘째, 이미 악용이 발생했음을 나타낼 수 있는 비정상적인 활동이 있는지 방화벽 로그를 검토하라. 예상치 못한 아웃바운드 연결, 비정상적인 인증 이벤트, 또는 승인된 관리 작업에 해당하지 않는 구성 변경을 확인하라.
셋째, 팔로알토 네트웍스의 공식 패치가 출시되는 즉시 적용하라. 기다리지 마라. 국가 지원 행위자들은 제로데이가 공개적으로 공개되면 빠르게 움직이는 경향이 있으며, 다른 기회주의적 공격자들도 같은 취약점을 곧 이용하는 경우가 많다.
업스트림에서 팔로알토 인프라를 사용하는 서비스 제공자나 클라우드 환경에 의존하는 개인 및 소규모 조직의 경우, 실질적인 조치는 다르다. 서비스 제공자에게 직접 영향을 받았는지, 어떤 완화 조치를 적용했는지 문의하라. 민감한 통신이 네트워크 경계와 독립적인 애플리케이션 계층 암호화로 보호되는지 검토하라.
정교한 해커들이 탐지 및 기소되기 어려운 이유를 이해하면, 이러한 사고에서 법 집행 대응을 기다리는 것이 왜 거의 실질적인 전략이 될 수 없는지를 설명하는 데 도움이 된다. 조직의 회복력은 사후 수습이 아닌 내부 준비 태세에 달려 있다.
더 넓은 시각
CVE-2026-0300은 기업급 하드웨어가 본질적으로 악용에 면역이 아님을 날카롭게 상기시켜 준다. 국가 지원 행위자들은 조직 인프라에서 고가치 병목 지점을 집중적으로 찾으며, 방화벽은 바로 그러한 지점에 해당한다. 경계 장치에 부여된 암묵적 신뢰는 그 침해를 특히 치명적으로 만든다.
최선의 대응은 긴급한 기술적 조치(패치, 접근 제한, 로그 검토)와 단일 장치가 그 뒤에 있는 모든 것을 보호하는 데 얼마나 신뢰받고 있는지에 대한 장기적인 재평가를 결합하는 것이다. 벤더가 아무리 신뢰할 수 있더라도, 어떠한 단일 제어 지점도 무결하다고 취급해서는 안 된다. 방어를 다층화한 조직은 이와 같은 제로데이가 다음번에 나타났을 때 훨씬 강한 위치에 있게 될 것이다.
