2026년 9월 30일부터 10월 4일까지 미국 사이버보안 및 인프라 보안국(CISA)은 실제 악용이 확인된 취약점 목록(KEV)에 5건을 추가했습니다. 대상은 Cisco Catalyst SD-WAN Manager, Fortinet FortiMail, Zammad, Citrix NetScaler처럼 네트워크 경계나 업무 연결의 앞단에 놓이기 쉬운 제품이었습니다.
이 장비나 서비스가 침해되면 공격자는 한 시스템에서 멈추지 않고 관리자 권한, 내부 서비스, 운영 DB, 백업·관리 경로를 다음 목표로 삼을 수 있습니다. 결론은 분명합니다. 패치 순서는 점수만 높은 취약점 목록이 아니라 실제 악용 여부 → 외부 노출 → 획득 가능한 권한 → 연결된 중요 자산 순서로 정해야 합니다.
핵심 요약
- CISA KEV는 “취약점이 존재한다”가 아니라 “실제 환경에서 악용됐다는 근거가 있다”는 우선순위 신호입니다.
- 2026년 9월 30일~10월 4일 추가된 5건은 인증 우회, 임의 파일 쓰기, 원격 코드 실행과 권한 상승의 연쇄, 서비스 거부처럼 영향이 서로 다릅니다.
knownRansomwareCampaignUse: Unknown은 랜섬웨어와 무관하다는 뜻이 아니라, CISA가 알려진 랜섬웨어 캠페인 사용 여부를 확인하지 못했다는 뜻입니다.- 기업은 패치만 배포하고 끝내지 말고, 노출 축소·침해 흔적 확인·자격증명 교체·하위 시스템 점검을 같은 작업 묶음으로 처리해야 합니다.
- DB 앞단의 추가 경계는 침해 후 이동 경로를 줄일 수 있지만, 허용 요청 악용과 권한 오남용, 관리망·백업망 우회까지 해결하지는 않습니다.
최근 7일, 무엇이 KEV에 들어왔나
| CISA 추가일 | 대상 | 확인된 영향 | CISA 조치 기한 | 알려진 랜섬웨어 캠페인 |
|---|---|---|---|---|
| 2026-09-30 | Cisco Catalyst SD-WAN Manager, CVE-2026-76504 | 인증 우회 후 관리자 권한 API 접근 | 2026-10-03 | 확인되지 않음(Unknown) |
| 2026-10-01 | Fortinet FortiMail, CVE-2026-104286 | HTTP/HTTPS 요청을 통한 임의 파일 쓰기 | 2026-10-04 | 확인되지 않음(Unknown) |
| 2026-10-02 | Zammad, CVE-2026-102489 | 세션 고정을 통한 사용자 권한 원격 코드 실행 | 2026-10-05 | 확인되지 않음(Unknown) |
| 2026-10-02 | Zammad, CVE-2026-102490 | 로컬 Zammad 사용자의 root 권한 상승 연쇄 | 2026-10-05 | 확인되지 않음(Unknown) |
| 2026-10-04 | Citrix NetScaler, CVE-2026-88779 | 메모리 경계 처리 결함으로 서비스 거부 발생 | 2026-10-07 | 확인되지 않음(Unknown) |
1. 점수보다 실제 악용 여부를 먼저 보세요
확인된 사실: CISA는 위 5건을 KEV에 추가했습니다. Cisco는 CVE-2026-76504의 실제 악용을 2026년 9월 인지했다고 밝혔고, Fortinet도 CVE-2026-104286이 실제 환경에서 악용됐다고 공지했습니다. 두 취약점 모두 인증되지 않은 원격 공격자가 시작할 수 있다는 점이 중요합니다.
의미: CVSS는 기술적 심각도를 비교하는 데 유용하지만, 우리 회사 자산이 인터넷에 노출됐는지, 공격 코드가 실제로 쓰이는지, 성공했을 때 어떤 권한을 얻는지까지 한 숫자로 대신하지는 못합니다. 반대로 서비스 거부처럼 기밀정보 탈취와 직접 연결되지 않는 취약점도 핵심 인증 관문에 있다면 가용성 위험이 커질 수 있습니다.
기업이 할 일: 취약점 대장에 KEV 포함 여부, 외부 노출, 획득 권한, 중요 자산까지의 연결, 보완 통제 다섯 칸을 추가하십시오. 같은 점수라면 실제 악용이 확인됐고 외부에 노출됐으며 관리자 권한이나 내부 핵심 자산으로 이어지는 항목을 먼저 처리해야 합니다.
2. 경계장비 한 대가 아니라 뒤쪽 경로까지 조사하세요
확인된 사실: 이번 목록에는 SD-WAN 관리 시스템, 메일 보안 장비, 고객지원 시스템, 원격접속 게이트웨이가 포함됐습니다. Zammad의 두 취약점은 원격 코드 실행과 로컬 권한 상승이 연쇄될 수 있다고 CISA가 설명했습니다. Cisco 취약점은 성공 시 관리자 권한의 API 접근으로 이어질 수 있습니다.
의미: 경계 시스템은 출입문인 동시에 내부로 이어지는 환승역입니다. 공격자는 첫 장비에서 얻은 세션, 관리자 권한, 저장된 비밀정보를 이용해 인증 서버·운영 서버·DB·백업 시스템으로 이동할 수 있습니다. 해당 제품의 패치 성공만 확인하면 이미 일어난 후속 이동을 놓칠 수 있습니다.
대응 흐름:
실제 악용 확인 → 외부 노출 축소 → 증거 보존 → 패치·완화 → 침해 흔적 조사 → 자격증명 교체 → 하위 자산 검증
3. “랜섬웨어 사용 여부 미확인”을 안전 신호로 읽지 마세요
확인된 사실: 2026년 10월 4일 공개된 CISA KEV 데이터에서 위 5건의 knownRansomwareCampaignUse 값은 모두 Unknown입니다. 동시에 이 5건은 실제 악용 근거가 있어 KEV에 포함됐습니다.
의미: Unknown은 “랜섬웨어에 쓰이지 않았다”가 아닙니다. 알려진 랜섬웨어 캠페인과의 연결이 확인되지 않았다는 뜻입니다. 초기 침투, 권한 상승, 내부 이동, 정보 탈취 뒤에 암호화가 이어질 수도 있지만, 현재 공식 자료만으로 그 연결을 단정해서는 안 됩니다.
기업이 할 일: 랜섬웨어 연계가 확인될 때까지 기다리지 마십시오. 인터넷 경계 장비와 관리 시스템의 KEV 항목은 초기 침투 가능성만으로 긴급 대응 대상으로 분류하고, EDR·인증·네트워크·백업 로그의 보존 기간과 시간 동기화를 확인하십시오. 백업은 관리 계정과 삭제 권한이 운영망 침해에 함께 넘어가지 않도록 별도 경계와 복구 시험을 점검해야 합니다.
4. 패치 뒤에도 DB로 이어지는 직접 경로를 줄이세요
확인된 사실: 이번 취약점들은 제품과 영향이 다르지만, 앞단 시스템의 침해가 더 높은 권한이나 내부 연결로 이어질 수 있다는 공통점이 있습니다. N-FORTRESS 제품 제안서가 설명하는 NF는 운영 DB 앞단에서 외부 세션을 끝내고, 보호 구간 안에서 DB 세션을 새로 맺어 직접 통신 경로를 분리하는 추가 계층입니다.
의미: 이 구조는 웹·앱 서버나 앞단 시스템이 침해됐을 때 보호 DB로 직접 스캔·접속하는 경로를 줄이는 데 목적이 있습니다. WAF, DB 접근제어, EDR, 패치, 백업을 대체하지 않습니다. 허용된 업무 요청을 악용한 대량 조회, 과도한 계정 권한, 별도로 열린 관리망·백업망, 장비 장애와 우회 정책은 여전히 남는 위험입니다.
N-FORTRESS는 침투된 웹·앱 서버에서 운영 DB로의 직접 TCP 연결 경로를 끊어 횡적 이동을 차단하도록 설계되었습니다. 그러나 정상 권한을 가진 계정의 쿼리 악용, 관리망을 통한 비인가 접근, WAF/EDR 통제를 대신하지 않으므로 각 통제 계층이 병행되어야 합니다.
실무 체크포인트
- CISA KEV와 제조사 보안 공지를 매일 자산 목록에 대조하나요?
- 인터넷에 직접 노출된 관리면·VPN·메일·원격지원·SD-WAN 장비를 별도 목록으로 관리하나요?
- 실제 악용, 외부 노출, 획득 권한, 중요 자산 연결을 패치 우선순위에 반영하나요?
- 패치 전에 휘발성 증거와 핵심 로그를 보존할 절차가 있나요?
- 패치 후 외부 노출과 우회 주소를 다시 스캔하나요?
- 관리자 계정, API 키, 세션 토큰의 교체 기준이 있나요?
- 운영 DB와 백업 저장소로 이어지는 관리망·백업망 우회 경로를 점검했나요?
- 웹·경계장비·인증·DB 로그를 하나의 시간축으로 재구성할 수 있나요?
- 장애 시 우회가 보안 경계를 무력화하지 않는지 복구 훈련에서 확인하나요?
락게이트코어의 판단
이번 5건이 보여 주는 핵심은 “새 취약점이 또 나왔다”가 아닙니다. 공격자는 인터넷에 가까우면서 더 높은 권한과 더 많은 내부 연결을 가진 지점을 먼저 노립니다. 그래서 취약점 관리의 단위도 CVE 한 건에서 침해 뒤 이어지는 경로 전체로 넓어져야 합니다.