CVE-2026-102764: BeyondTrust Remote Support 인증 우회, KEV 등재로 확인된 위험과 점검 순서

원격 지원 솔루션은 그 특성상 내부망과 외부 사용자를 잇는 통로에 놓여 있습니다. CVE-2026-102764는 바로 그 Remote Support 어플라이언스 자체를 노리는 취약점으로, CISA의 Known Exploited Vulnerabilities(KEV) 카탈로그에 등재되어 실제 악용이 확인된 상태입니다. 수정 버전 번호나 구체적 침해 지표가 확인되지 않았기 때문에, 패치 릴리스만 기다리는 대응보다는 벤더 지침에 따른 완화 조치와 자산 노출 평가를 먼저 진행해야 하는 사례에 가깝습니다.

개요

CVE-2026-102764는 BeyondTrust Remote Support 제품의 내부 컴포넌트에서 발생하는 취약점입니다. CVE 레코드에 따르면 해당 컴포넌트는 수신하는 메시지의 출처(origin)를 적절히 검증하지 않았고, 적절한 조건이 갖춰지면 공격자가 어플라이언스에서 파일 조작(file operations)을 수행할 수 있습니다.

CISA KEV 카탈로그는 이 취약점을 스푸핑에 의한 인증 우회(authentication bypass by spoofing) 로 분류합니다. CVE 레코드가 '메시지 출처 검증 실패'라는 원인 중심으로 서술한다면, CISA는 같은 결함을 스푸핑을 통해 인증을 통과시키는 결과 중심으로 라벨링한 것입니다. 두 표현이 서로 다른 결함을 가리킨다는 근거는 자료에 없습니다.

여기에 더해 NVD에 기록된 CISA의 필요 조치는 벤더 지침에 따른 완화 조치, CISA의 BOD 26-04 및 포렌식 트리아지 요건 준수, 그리고 완화 조치가 없으면 제품 사용 중단을 명시하고 있습니다. KEV 등재는 실제 악용이 확인되었다는 신호이며, CISA는 같은 필요 조치에서 BOD 26-04에 따른 위험 기반 패치 우선순위 체계까지 함께 요구합니다.

영향 범위

• 제품: BeyondTrust Remote Support
• CVE 레코드가 지정한 영향 범위: version 0부터 26.2.3 이하(lessThanOrEqual 26.2.3, versionType custom), 범위를 벗어난 버전의 기본값은 unaffected
• CISA가 요구하는 평가: 자산별 인터넷 노출 여부 평가와 BOD 26-04 패치 지침 준수

CVE 레코드의 affected 항목은 BeyondTrust Remote Support의 영향 범위를 26.2.3를 포함한 그 이하 버전 전체로 지정합니다. 따라서 26.2.3를 사용하는 환경뿐 아니라 그보다 낮은 버전을 실행 중인 Remote Support 어플라이언스도 이 범위에 속한다고 보는 것이 레코드에 정확한 해석입니다. 다만 수정(패치) 버전 번호는 현재 자료에 없으므로, 업그레이드 목표 버전과 패키지 식별자는 벤더 공지에서 다시 확인하는 것이 정확합니다. 버전별 세부 차이와 달리 영향 범위의 상한이 확정되어 있다는 점은, 점검 대상을 좁히려는 시도를 하기보다 26.2.3 이하 전수를 대상 목록에 올리는 편이 안전하다는 뜻입니다.

영향 범위 해석에서 버전만큼 중요한 축은 노출도입니다. CISA 필요 조치는 이해관계자가 자산별 인터넷 노출을 평가하고 BOD 26-04 패치 지침을 준수할 책임이 있다고 명시합니다. 벤더 CVSS 4.0 벡터가 네트워크 벡터(AV:N)에 무인증(PR:N)과 무상호작용(UI:N)을 기록한다는 사실과 함께 읽으면, 노출 평가는 이 취약점에서 특히 선행이 필요한 단계가 됩니다. 이는 CISA의 명시적 요구와 확인된 벡터 기록에서 도출한 조건부 운영 판단입니다.

기술적 분석

근본 원인: 내부 컴포넌트의 메시지 출처 검증 결함

CVE 레코드가 지목한 원인은 Remote Support 제품의 내부 컴포넌트가 수신 메시지의 출처를 적절히 검증하지 않는다는 점입니다. 그리고 적절한 조건이 갖춰지면 공격자가 어플라이언스에서 파일 조작을 수행할 수 있다고 서술합니다. CISA는 같은 취약점을 스푸핑에 의한 인증 우회로 분류합니다. 원인 서술과 결과 서술이 서로 다른 결함을 가리킨다는 근거는 없고, 레코드에 적힌 범위만으로는 두 서술의 대응 관계를 더 좁혀 설명하기 어렵습니다.

메시지 검증 우회가 어떤 내부 단계를 거쳐 파일 조작으로 이어지는지에 대한 상세 동작 원리는 공개 자료에 기술되어 있지 않습니다. 파일 조작의 구체적 유형(업로드·삭제·변경 등)도 확인되지 않았습니다. 따라서 '원격 코드 실행'이나 '특정 파일 경로 조작'처럼 구체화되는 설명은 현 시점 근거로 뒷받침되지 않으므로 주의가 필요합니다.

영향: 어플라이언스 대상 원격 파일 조작

CNA(BeyondTrust)의 설명과 CISA의 설명은 영향에서 일치합니다. 둘 모두 공격자가 어플라이언스에서 파일 조작을 수행할 수 있다고 서술하며, CISA는 원격 공격자에 의한 것임을 명시합니다. 벤더 CVSS 4.0 벡터 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N는 취약점 대상 컴포넌트 자체의 기밀성(VC)·무결성(VI)·가용성(VA) 영향이 High, 다른 시스템에 대한 영향(SC·SI·SA)은 None으로 기록되어 있다는 뜻입니다. 이 값이 나타내는 것은 벡터 기록상의 영향 범위까지이므로, 이 범위를 넘어선 결론으로는 확대하지 않는 것이 정확합니다.

운영적 관점에서 짚을 지점은 여기입니다. 원격 지원 어플라이언스는 지원 세션의 진입점이자 내부 시스템 접근 경로입니다. 이 인프라 자체가 침해되면 지원 세션을 매개로 한 추가 내부망 접근의 교두보가 될 수 있다는 우려가 자연스럽게 따릅니다. 다만 그런 후속 공격 경로는 현재 증거에 명시되어 있지 않은 조건부 판단이며, 지금 확인할 수 있는 직접 영향은 어플라이언스의 파일 조작까지입니다.

악용 조건: 'right conditions'와 확인된 벡터

레코드는 악용 가능성을 'under the right conditions'라는 조건부 표현으로 서술합니다. 그 조건의 구체적 내용은 공개 자료에 나와 있지 않습니다. 반면 CVSS 4.0 벡터는 공격 경로가 네트워크이며 사전 권한(PR:N)·사용자 상호작용(UI:N)·공격자 상호작용(AT:N)이 불필요하다고 기록합니다. 이 두 진술에서 지금 확실히 말할 수 있는 것은 악용 경로가 네트워크라는 점과, 성공에 필요한 전제의 상세가 공개되지 않았다는 점 두 가지입니다.

따라서 이 근거로 뒷받침할 수 있는 대응 기준은 CISA 필요 조치에 적힌 항목들입니다. 벤더 지침에 따른 완화 조치, BOD 26-04와 포렌식 트리아지 요건 준수, 자산별 인터넷 노출 평가, 그리고 완화 조치가 없으면 제품 사용 중단을 검토하는 것이 그것입니다. 공개되지 않은 'right conditions'를 임의로 가정해 악용 난이도를 추정하거나, 자료에 없는 특정 통제 수단을 최우선으로 제시하는 판단은 이 근거 범위로는 성립하지 않습니다.

악용 상태와 확인되지 않은 정보

CISA KEV 카탈로그 등재는 실제 악용이 확인되었다는 가장 강한 신호입니다. 반면 공개된 PoC나 독립 기술 분석 자료는 현재 확인되지 않았습니다. 현재 근거에는 구체적인 IOC나 로그 시그니처도 없습니다. 악용 확인과 PoC 공개는 별개의 사실이므로, 'PoC가 없으니 당분간 안전'이라는 추정은 성립하지 않습니다. 대응의 기준은 PoC 유무가 아니라 KEV 등재로 확인된 악용 사실과 벤더 CVSS 4.0 벡터, 그리고 CISA의 필요 조치 그 자체입니다.

탐지·조사 측면에서 현재 자료로 뒷받침할 수 있는 안내는 CISA의 포렌식 트리아지 요건입니다. NVD에 기록된 CISA 필요 조치는 벤더 지침에 따른 완화와 함께 CISA의 BOD 26-04 및 포렌식 트리아지 요건 준수를 요구합니다. 즉 침해가 의심되는 상황에서는 구체적 탐지 지침을 별도로 기다리기보다, 해당 요건에 따른 조사 절차를 기준으로 판단하는 것이 현재 근거에 맞는 절차입니다.

대응 방안

즉시 확인할 항목

• 환경 전수 확인: CVE 레코드의 영향 범위는 version 0부터 26.2.3 이하입니다. Remote Support 어플라이언스 보유 목록과 각 버전을 정리해 26.2.3 이하 장비를 예외 없이 점검 대상에 넣고, 인터넷에 노출된 자산부터 처리합니다.
• 인터넷 노출 평가: CISA는 각 자산의 인터넷 노출 여부 평가를 요구합니다. 자산별 노출 상태를 기록해 BOD 26-04 패치 지침 적용의 근거로 삼습니다.
• 벤더 완화 조치 확인 및 적용: 벤더 지침에 따른 완화 조치가 제공되는지 확인하고, 있으면 적용합니다.
• 완화 불가 시 사용 중단 검토: 완화 조치가 없다면 BOD 26-04 권고에 따라 클라우드 서비스용 지침 준수 또는 제품 사용 중단 여부를 결정합니다.
• 침해 의심 상황의 조사 기준: 구체적인 IOC나 탐지 지침은 확인되지 않았습니다. 침해가 의심되면 CISA 포렌식 트리아지 요건을 기준으로 조사를 진행합니다.

구조적 조치와 중장기 과제

근본 해결은 벤더 지침에 따른 완화 및 조치 적용입니다. 다만 구체적 수정 버전 번호와 업데이트 패키지 식별자는 현재 근거에서 확인되지 않았으므로, 목표 버전이나 패키지 명은 반드시 벤더 공지에서 확인한 뒤 확정해야 합니다. 이 글에서 특정 버전 이상으로 업그레이드하라는 수치를 제시하지 않는 것이 정확한 이유도 여기 있습니다. 영향 범위의 상한(26.2.3 이하)은 확정되어 있으나 하한이 없는 상태이므로, 벤더가 수정 버전을 공지하기 전까지는 범위 내 전 자산을 완화 조치 대상 취급을 유지해야 합니다.

중장기 과제로 남는 것은 노출 관리입니다. CISA는 각 이해관계자가 자산별 인터넷 노출을 평가하고 BOD 26-04 패치 지침을 준수할 책임이 있다고 명시합니다. 이번 취약점이 네트워크 벡터·무인증 경로로 기록되었다는 사실은, 노출 평가가 이 제품군에서 계속 유지되어야 할 상시 항목이라는 점을 뒷받침합니다. 어떤 구성 방식으로 접근면을 줄일지에 대한 구체적 지침은 이 자료의 근거 범위를 벗어나므로, 벤더 지침과 BOD 26-04 체계 안에서 검토해야 합니다.

한계 정리

• 메시지 출처 검증 실패가 파일 조작으로 이어지는 상세 내부 동작과 '적절한 조건'의 구체적 내용은 미공개입니다.
• CVE 레코드의 영향 범위는 version 0부터 26.2.3 이하이며, 수정 버전 번호와 업데이트 패키지 식별자는 미확인입니다.
• 공격자가 수행할 수 있는 파일 조작의 구체적 유형도 확인되지 않았습니다.
• 구체적 IOC, 탐지 시그니처, 공개 PoC, 독립 기술 분석 자료는 현재 근거에 없습니다.
• 점수는 벤더 제공 CVSS 4.0 벡터 기준으로, 제3자 독립 평가와 다를 수 있습니다.
• 이 글의 우선순위·우려 설명은 확인된 사실(26.2.3 이하 영향 범위, 네트워크 벡터·무인증·무상호작용 벡터 기록, KEV 등재, CISA 필요 조치)에서 도출한 조건부 운영 판단입니다.

참고자료

• CVE-2026-102764: Improper Origin Validation in Internal Messaging Components of BeyondTrust Remote Support
• Known Exploited Vulnerabilities Catalog - CVE-2026-102764 (BeyondTrust Remote Support)
• NVD CVE API record for CVE-2026-102764 (CISA required action)

함께 읽으면 좋은 글

• CVE-2026-119408: n8n 폐기 코드 노드 경유 원격 코드 실행과 자동화 워크플로 서버 점검
• CVE-2026-46300: Linux 커널 skb 공유 프래그 마커 결함, 커널 업데이트로 점검할 사항
• CVE-2016-3081: DMI가 켜진 Apache Struts 명령 주입, KEV 등재가 의미하는 것

본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.