Ivanti Connect Secure 3개 취약점 연쇄 악용, 후속 2건도 CISA KEV 등재

원문 기반 한국어 요약

Volexity는 10월 5일 고객사의 의심 활동을 조사해 당시 최신 패치였던 Ivanti Connect Secure 22.8R2.4(Build 19097) 장비의 침해를 확인했다. 조사에 따르면 공격 그룹 UTA0576은 10월 3일부터 인증 우회, 임시 파일을 이용한 코드 실행, 별도 권한 상승 문제를 연쇄 악용해 장비에서 root 권한으로 명령을 실행했다. [1]

Volexity는 인증 우회와 원격 코드 실행 부분이 CVE-2026-104935로 추적되며 10월 13일 배포된 패치에서 수정됐다고 밝혔다. 권한 상승 부분은 별개의 취약점으로, Volexity의 10월 13일 발표 시점에는 Ivanti가 후속 릴리스용 수정 작업을 진행 중이었다. [1]

Volexity가 조사한 장비에서 공격자는 VPN 장비에 저장된 LDAP용 도메인 자격 증명을 추출하고, Active Directory 정보를 반출했으며, LAPS 암호·BitLocker 복구 키 등 고가치 속성을 검색했다. Volexity는 로그 삭제와 메모리 내 변경·복원 때문에 Ivanti Integrity Checker만으로 침해를 확인하기 어려울 수 있다고 설명했다. [1]

영국 NHS England는 10월 13일 CVE-2026-104935의 실제 악용을 알리고, 영향을 받는 Ivanti Connect Secure 운영기관에 제조사 권고를 확인해 관련 업데이트를 신속히 적용하라고 안내했다. NHS 경보는 인증 없는 원격 명령 실행 가능성과 CVSS 8.6도 명시했다. [2]

Volexity는 영향을 받는 장비의 패치 적용과 함께 VPN 장비에서 시작된 횡적 이동 징후, 비정상적인 인증 요청, 침해 후 활동을 조사하도록 권고했다. 침해가 의심되면 네트워크·메모리 포렌식이 필요할 수 있다고 밝혔다. [1]

Volexity는 10월 29일 후속 갱신에서 당시 별도 권한 상승 문제를 CVE-2026-111357로 식별하고 Ivanti가 같은 날 수정판을 배포했다고 밝혔다. 이 취약점은 공격 연쇄에서 제한된 cgi-server 권한의 코드 실행을 root 권한으로 높이는 단계에 사용됐다. [1]

CISA는 10월 30일 CVE-2026-111357과 CVE-2026-118527을 실제 악용 증거에 따라 Known Exploited Vulnerabilities 목록에 추가했다. CISA는 전자를 중요 기능 인증 누락, 후자를 예측 가능한 수 또는 식별자 생성 취약점으로 명명했다. [3]

캐나다 사이버보안센터는 10월 30일 공지를 갱신해 두 CVE의 KEV 등재를 확인하고, Ivanti Connect Secure 25.1.1.3 미만, 25.1.3.1 미만, 22.8R2.6 미만 버전을 영향 범위로 안내했다. 운영자는 정확한 제품 계열과 빌드를 제조사 공지와 대조해 최신 수정판을 적용해야 한다. [4]

이번 갱신으로 최초 기사에서 '후속 수정 예정'으로 구분했던 권한 상승 단계는 수정판 제공 상태로 바뀌었다. 다만 Volexity는 공격이 메모리 변경과 로그 삭제를 사용해 Integrity Checker만으로 탐지되지 않을 수 있다고 계속 경고하며, 의심 장비에는 네트워크·메모리 포렌식을 권고한다. [1]

근거: 아래 출처 [1] · [2] · [3] · [4] · 원문 전체 번역이 아닌 핵심 내용의 번역·요약