SonicWall은 자사의 SMA 1000 시리즈 어플라이언스에 존재하는 2개의 치명적인 제로데이 취약점이 패치가 제공되기 전까지 22일 동안 INC 랜섬웨어 그룹에 의해 활발히 악용되었음을 확인했습니다. CVE-2026-15409와 CVE-2026-15410으로 추적되는 이 결함들은 모두 최고 CVSS 심각도 점수인 10.0점을 기록했으며, 이는 올해 기업 VPN 인프라를 강타한 가장 심각한 원격 접속 취약점 사건 중 하나로 기록됩니다.

직원들에게 암호화된 내부 네트워크 원격 접속을 제공하기 위해 SonicWall의 Secure Mobile Access 어플라이언스에 의존하는 조직에게 이번 사건은 단일 에지 하드웨어에 얼마나 많은 신뢰가 집중되는지, 그리고 그 신뢰가 깨졌을 때 얼마나 큰 대가를 치르게 되는지를 상기시켜줍니다.

SonicWall SMA 1000 제로데이로 인해 발생한 일

SMA 1000 어플라이언스는 기업 네트워크의 경계에 위치하여 원격 사용자를 인증하고 트래픽을 내부 시스템으로 라우팅합니다. 이러한 위치 때문에 이 장비는 공격자에게 매우 매력적인 표적이 됩니다. 성공적인 익스플로잇은 단일 장치를 침해하는 것에 그치지 않고 공격자에게 조직 전체 인프라에 대한 거점을 제공할 수 있기 때문입니다.

CVE-2026-15409와 CVE-2026-15410은 공격자에게 바로 그러한 종류의 접근 권한을 부여했습니다. 두 취약점 모두 CVSS 점수 10.0점, 즉 가능한 최고 등급을 기록했는데, 이는 원격 익스플로잇이 가능하고 인증이 거의 또는 전혀 필요하지 않으며 완전한 침해로 이어질 수 있는 결함을 반영합니다. 맞춤형 멀웨어 배포에 악용된 SonicWall SMA 제로데이에 대한 보도를 포함해 이 사건에 대한 초기 보도에서는 공격자들이 단순히 이러한 장치에 침입하는 데 그치지 않고, 침해된 어플라이언스를 위해 특별히 설계된 지속적 악성 도구를 심는 데 해당 접근 권한을 사용했다고 설명했습니다.

이 캠페인과 관련된 추적에 따르면, 익스플로잇 활동은 6월 22일로 거슬러 올라가며, 이는 SonicWall이나 보안 커뮤니티가 이 문제를 공개적으로 식별하기 훨씬 이전의 일입니다. 보고서에 따르면 6월 22일부터 활동 중인 SonicWall SMA 제로데이에 대한 별도의 보고서는 탐지가 공격자들을 따라잡기 전에 이 결함들이 야생에서 얼마나 오랫동안 사용되고 있었는지를 보여주는 타임라인을 제시했습니다.

INC 랜섬웨어와 22일간의 익스플로잇 기간

이번 사건을 일상적인 취약점 공개와 차별화하는 것은 INC 랜섬웨어 그룹과의 직접적인 연관성입니다. INC는 SonicWall이 수정 사항을 발표하기 전까지 무려 22일 동안 이 결함들을 사용하여 표적을 식별하고, 접근 권한을 얻고, 영향을 받은 네트워크 내에서 측면 이동할 수 있는 연장된 활주로를 확보했습니다. 랜섬웨어 작전에서 체류 시간(초기 접근부터 방어자가 알아차리기까지의 기간)은 종종 통제된 사건과 전면적인 네트워크 암호화 사건의 차이를 의미합니다.

22일이라는 앞선 출발은 중요합니다. 이는 충분한 자원을 보유한 그룹이 표적의 네트워크를 매핑하고, 가치 있는 데이터를 찾고, 원래 취약점이 패치될 경우에 대비해 백업 접근 지점을 구축하기에 충분한 시간입니다. 이러한 패턴은 UTA0533으로 추적되는 위협 행위자의 초기 활동을 반영하며, UTA0533 해커들의 SonicWall SMA 제로데이 악용에 대한 보도에서 자세히 설명되었습니다. 이 보도는 SonicWall의 SMA 라인이 일회성 사건이 아니라 장기간에 걸쳐 정교한 공격자들의 반복적인 표적이 되어 왔음을 보여주었습니다.

현재 공격받고 있는 SonicWall SMA1000 제로데이: 지금 패치하십시오에서 다룬 SonicWall의 긴급 지침은 취약점이 공개된 후 관리자들이 직면한 시급성을 강조했습니다. 이 회사는 고객들에게 즉각적인 패치를 강력히 권고했으며, 이는 이러한 결함에 대한 내부 평가가 얼마나 심각했는지를 보여주는 신호입니다.

원격 접속 사용자에게 미치는 프라이버시 위험

랜섬웨어 측면 외에도, 이 이야기에는 덜 두드러지지만 똑같이 중요한 프라이버시 차원이 존재합니다. SMA 어플라이언스는 이를 통해 연결하는 모든 원격 직원의 자격 증명, 세션 토큰 및 트래픽을 처리합니다. 이 계층에서의 CVSS 10.0 점수 결함은 공격자가 랜섬웨어 페이로드를 배포하는 능력뿐만 아니라 수 주 동안 인증 데이터와 내부 트래픽 패턴에 대한 가시성을 잠재적으로 확보했음을 의미합니다.

업무를 위해 원격으로 연결하는 직원과 계약직 근로자에게 이러한 에지 장치 침해는 랜섬웨어 배포 자체가 더 가시적인 결과였을지라도, 개인 로그인 자격 증명, 세션 데이터, 그리고 잠재적으로 어플라이언스를 통과하는 민감한 통신을 노출시킬 수 있습니다. 이는 SonicWall에만 국한된 문제도 아닙니다. 최근 공격에 악용된 Check Point SmartConsole 제로데이에서도 유사한 노출이 목격되었으며, 이는 다양한 벤더의 경계 보안 도구들이 정확히 그곳을 흐르는 프라이버시에 민감한 데이터 때문에 여전히 높은 가치의 표적으로 남아 있다는 사실을 강화합니다.

이것이 여러분에게 의미하는 바

조직에서 SonicWall SMA 1000 어플라이언스를 운영 중이라면, 최우선 과제는 CVE-2026-15409와 CVE-2026-15410을 해결하는 패치가 적용되었는지 확인하는 것입니다. 수정 사항이 도착하기 전 22일간의 익스플로잇 기간이 있었음을 고려할 때, 해당 기간 동안 모든 SMA 1000 배포가 잠재적으로 침해되었을 가능성을 고려하고 비정상적인 인증 활동이나 예상치 못한 아웃바운드 연결에 대한 로그를 검토하는 것도 가치가 있습니다.

이러한 어플라이언스 관리에 직접적인 책임이 없더라도, 고용주가 SonicWall 원격 접속 도구를 사용하는 경우 IT 또는 보안 팀에 패치가 배포되었는지, 그리고 침해 지표가 발견되었는지 문의하는 것이 타당합니다. 개별 사용자는 기업용 어플라이언스를 스스로 패치할 수 없지만, 이와 같은 확인된 사건 이후에 VPN 및 원격 접속 비밀번호를 변경하는 것은 현명한 예방 조치입니다.

핵심 요점

이번 SonicWall SMA 1000 제로데이 사건은 단일 경계 장치가 수 주간의 탐지되지 않은 접근을 동반한 랜섬웨어 작전의 진입점이 될 수 있음을 보여줍니다. 두 개의 개별 CVE에 대한 CVSS 10.0 등급과 22일에 걸친 INC 랜섬웨어의 확인된 악용 사례가 결합되어 이 사건은 올해 가장 심각한 원격 접속 보안 사건 중 하나가 되었습니다. 조직은 패치 적용 여부를 확인하고, 익스플로잇 기간까지 거슬러 올라가는 침해 징후를 감사하며, SMA 1000과 같은 경계 어플라이언스를 인터넷에 노출된 모든 중요 시스템과 동일한 수준의 정밀 조사가 필요한 고가치 표적으로 취급해야 합니다. 벤더 권고를 최신 상태로 유지하고 신속하게 패치를 적용하는 것이 필연적으로 뒤따를 다음 제로데이에 대한 가장 효과적인 방어 수단으로 남아 있습니다.