새롭게 공개된 Ivanti Connect Secure의 인증 우회 취약점이 이미 공격에 악용되고 있으며, CISA는 조직들이 신속히 행동할 것을 촉구하고 있습니다. CVE-2026-104935로 추적되는 이 취약점은 높은 심각도로 평가되며, Cyber Daily의 보도에서 인용된 한 분석가는 이를 악용하기가 "믿을 수 없을 정도로 간단하다"고 설명합니다. 귀하의 조직이 이 VPN 게이트웨이를 운영하고 있다면, Ivanti Connect Secure 제로데이 패치를 최우선 순위로 올려야 합니다.
공개된 세부 정보는 아직 제한적이므로, 이 글은 보도된 내용에 한정하고 여러분이 취할 수 있는 실질적인 조치에 초점을 맞춥니다.
CVE-2026-104935란 무엇이며 왜 악용되고 있는가
CVE-2026-104935는 Ivanti Connect Secure의 인증 우회 취약점입니다. 쉽게 말해, 인증 우회란 외부인이 시스템에 접근하지 못하도록 막아야 할 로그인 단계를 공격자가 통과할 수 있게 해주는 것입니다. 비밀번호를 탈취하거나 사용자를 속이는 대신, 공격자는 검사 자체를 건너뜁니다.
이 취약점이 주목받는 이유를 설명하는 두 가지 세부 사항이 있습니다. 첫째, 이 취약점은 공격자들이 이미 표적으로 삼은 제로데이로 설명됩니다. 둘째, 한 분석가는 이를 악용하기가 "믿을 수 없을 정도로 간단하다"고 표현했습니다. 자격 증명이 필요 없고 기술도 거의 요구하지 않는 단순한 버그는 빠르게 확산되는 경향이 있는데, 더 많은 공격자가 사용할 수 있고 자동화된 스캐닝이 실용적으로 가능해지기 때문입니다.
CISA는 신속한 조치를 촉구했습니다. 원문 기사에서는 영향을 받는 버전 번호나 공격자 신원 등 추가적인 기술적 세부 사항을 제공하지 않으므로, 간접적인 요약에 의존하지 말고 Ivanti의 공식 권고문에서 해당 세부 정보를 확인하십시오.
귀하의 VPN 게이트웨이가 영향을 받았는가? 침해 징후 확인 방법
기본부터 시작하십시오. 지점 사무실, 테스트 환경 또는 클라우드 배포에 있는 오래되었거나 잊혀진 어플라이언스를 포함하여 Ivanti Connect Secure를 운영하고 있는지 확인하십시오. 관리되지 않는 게이트웨이가 종종 패치되지 않은 채로 남아 있습니다.
그런 다음 설치된 버전을 Ivanti 권고문에 나열된 버전과 비교하십시오. 영향을 받는 범위에 있다면, 업데이트될 때까지 해당 장치가 위험에 노출되어 있다고 가정하십시오.
공격이 진행 중이라고 보도되었으므로 패치만으로는 충분하지 않을 수 있습니다. 수정이 존재하기 전에 악용된 우회 취약점은 흔적을 남겼을 수 있습니다. 합리적인 조치에는 다음이 포함됩니다:
- 인증 및 관리자 로그에서 예상치 못한 로그인, 특히 익숙하지 않은 IP 주소나 이상한 시간대의 로그인을 검토합니다.
- 어플라이언스에서 새로 생성되거나 변경된 계정, 구성 변경 또는 익숙하지 않은 파일을 찾습니다.
- 벤더가 제공하는 무결성 검사 도구를 실행하고, 그 결과가 의미하는 바에 대한 지침을 따릅니다.
- 관리 인터페이스가 공용 인터넷에 노출될 필요가 없는데도 접근 가능한지 확인합니다.
의심스러운 점을 발견하면 이를 사고로 취급하십시오. 장치를 격리하고, 로그를 보존하며, 다시 온라인으로 전환하기 전에 벤더 및 CISA 지침을 따르십시오.
CISA 지침에 따른 패치 및 완화 조치
가장 명확한 지침은 귀하의 버전에 사용 가능해지는 즉시 벤더 수정 사항을 적용하는 것입니다. CISA의 신속한 조치 촉구는 여기서 일상적인 유지보수 기간을 기다리는 것이 위험한 선택이라는 신호입니다.
실질적인 순서는 다음과 같습니다:
- 업데이트를 적용하십시오. Ivanti가 제공하는 패치를 설치하거나, 귀하의 릴리스에 대한 수정 사항이 아직 없다면 벤더가 발표하는 임시 완화 조치를 따르십시오.
- 노출을 제한하십시오. 관리 접근을 신뢰할 수 있는 네트워크로 제한하고, 가능한 경우 게이트웨이 앞에 추가 통제를 두십시오.
- 침해가 의심되면 자격 증명을 교체하십시오. 여기에는 로컬 계정과 어플라이언스에 저장되거나 어플라이언스를 통해 접근 가능한 모든 비밀이 포함됩니다.
- 이후 모니터링하십시오. 이전의 침입이 즉시 나타나지 않을 수 있으므로 패치 후 일정 기간 동안 강화된 로깅을 유지하십시오.
- 문서화하고 보고하십시오. 발견한 내용과 수행한 조치를 기록하고, 조직에 적용되는 보고 의무를 따르십시오.
정확한 패치 버전과 완화 단계는 Ivanti와 CISA를 직접 참조하십시오. 상황이 전개됨에 따라 해당 지침이 업데이트될 수 있기 때문입니다.
VPN 어플라이언스가 높은 가치의 표적인 이유
VPN 게이트웨이는 네트워크의 경계에 위치하며, 설계상 인터넷에 노출됩니다. 따라서 누구나 접근할 수 있고, 성공적인 침해는 내부 시스템으로 가는 직접적인 경로를 제공할 수 있습니다. 공격자들이 이들을 선호하는 또 다른 이유는 이러한 장치가 종종 광범위한 권한으로 실행되며 많은 사용자의 자격 증명을 처리할 수 있기 때문입니다.
엣지 어플라이언스는 노트북이나 서버보다 모니터링하기 어려울 수도 있는데, 동일한 보안 에이전트를 지원하지 않을 수 있기 때문입니다. 이 격차는 공격자에게 들키지 않고 활동할 더 많은 시간을 줍니다. 이러한 패턴은 공격자들이 접근을 보호하는 인프라를 노리는 더 넓은 흐름의 일부이며, 이는 최근 첩보 캠페인에서 AI가 공격자 조력자에서 자율 운영자로 이동하는 방법을 살펴본 우리의 글에서도 나타나는 주제로, 속도와 규모가 공격자에게 유리하게 작용합니다.
이것이 귀하에게 의미하는 바
Ivanti Connect Secure를 관리하고 있다면, 이는 긴급한 과제입니다. 장치를 식별하고, 패치하고, 침해 징후를 확인하십시오. 조용한 로그가 깨끗한 장치를 의미한다고 가정하지 마십시오.
회사 VPN의 직원이나 원격 사용자라면 게이트웨이를 직접 패치할 수는 없지만, IT 팀에 영향을 받는지, 수정 사항이 적용되었는지 물어볼 수 있습니다. 계정에 강력하고 고유한 비밀번호와 다중 인증을 사용하고, 예상치 못한 로그인 프롬프트나 계정 알림을 보고하십시오. 인증 우회는 로그인을 우회할 수 있으므로, 이러한 습관은 위험을 줄이지만 패치를 대체하지는 않는다는 점에 유의하십시오.
소비자용 VPN 서비스를 사용한다면, 이 특정 문제는 소비자 앱이 아닌 Ivanti의 엔터프라이즈 제품에 관한 것입니다. 그럼에도 인터넷에 노출된 모든 원격 접근 시스템에 정기적인 업데이트가 필요하다는 유용한 알림입니다.
핵심 요점
- 공격이 이미 발생하고 있다고 보도되었으므로 CVE-2026-104935에 대한 Ivanti Connect Secure 제로데이 패치를 긴급하게 취급하십시오.
- 귀하의 게이트웨이 중 Ivanti Connect Secure를 운영하는 것을 확인하고 Ivanti 권고문과 버전을 대조하십시오.
- 패치 후에도 침해 징후에 대해 로그와 어플라이언스 무결성을 검토하십시오.
- CISA 지침과 Ivanti의 공식 지침이 업데이트되는 대로 따르십시오.
- 이 기회에 관리 인터페이스의 노출과 엣지 장치 모니터링을 포함하여 조직이 원격 접근 인프라를 보호하는 방법을 검토하십시오.
먼저 패치하고, 그다음 조사하고, 계속 주시하십시오. 이 순서가 이 문제를 앞서 나갈 최선의 기회를 제공합니다.
