CVE-2026-104935는 Ivanti Connect Secure에서 확인된 스푸핑(spoofing) 기반 인증 우회 취약점으로, CISA Known Exploited Vulnerabilities(KEV) 카탈로그에 등재되어 있습니다. KEV 등재는 "이 취약점이 악용될 수 있는가"가 아니라 "악용이 확인되었는가"를 다루는 표시입니다. 그래서 이 항목은 확인된 사실의 범위를 기준으로, 지금 어디까지 알고 무엇을 따로 확인해야 하는지를 정리하는 편이 안전합니다.
개요
- CISA KEV 카탈로그는 이 항목을 Ivanti | Connect Secure로 등록하고, Ivanti Connect Secure Authentication Bypass by Spoofing Vulnerability, 즉 스푸핑에 의한 인증 우회 취약점이 있어 원격의 인증되지 않은 공격자가 영향을 줄 수 있다고 서술합니다.
- CVE 레코드는 state가 PUBLISHED, assignerShortName이 ivanti입니다. 벤더인 Ivanti가 CNA로서 자사 제품의 취약점을 직접 발행해 공개한 상태라는 뜻입니다.
- KEV 등재 사실은 조사 범위에서 실제 악용(in-the-wild)이 확인된 것으로 분류되었습니다. 같은 조사 범위에서 공개 PoC와 독립적인 상세 기술 분석 보고서는 확인되지 않았습니다.
- KEV 등재일과 조치 기한, CVSS 점수와 그 산정 근거는 전달된 근거에 포함되지 않았습니다.
영향 범위
- 제공 근거가 지목하는 제품은 Ivanti Connect Secure 한 가지입니다. CISA 카탈로그 조회 결과도 Ivanti | Connect Secure 항목 1건으로 표시됩니다.
- 근거가 확인하는 공격자 조건은 "원격의 인증되지 않은 공격자"라는 점까지입니다. 이 서술을 그대로 취하면, 인증 우회라는 성격상 유효한 자격증명을 미리 소지할 필요가 없다는 점이 핵심입니다.
- 어떤 네트워크 위치에서 도달 가능한지, 어떤 구성이나 설정에서 악용 가능한지는 제공 근거에 명시되어 있지 않습니다. 노출 경로에 따른 우선순위 판단은 이 글의 근거 범위 밖입니다.
- 영향 버전 범위와 수정 버전, 패치 식별자도 제공된 근거만으로는 확인되지 않습니다. 버전 단위의 자산 대조는 그 정보가 공식 권고에서 확인된 뒤에야 성립하는 과제입니다.
- 결과적으로 현재 근거가 지지하는 판단은 "확인된 악용 상태의 인증 우회 취약점"이라는 지정까지이고, 순위 산정에 필요한 기한·심각도·버전 정보는 아직 비어 있습니다.
기술적 분석
CISA가 명시한 취약점 분류는 Authentication Bypass by Spoofing, 즉 스푸핑에 의한 인증 우회입니다. 여기에 근거가 덧붙이는 서술은 원격의 인증되지 않은 공격자가 관련될 수 있다는 점까지입니다. 제공된 CISA 발췌는 "allows a remote unaut"에서 잘려 있어, 인증 우회 이후 공격자가 어디까지 도달하는지는 이 근거로 확인할 수 없습니다.
그 너머, 즉 어떤 구성 요소가 취약한지, 인증 절차의 어느 단계가 스푸핑으로 통과되는지, 공격 시퀀스의 형태는 전달된 근거에 없습니다. 따라서 기술적 메커니즘은 "원격 비인증 상태에서 스푸핑을 이용한 인증 우회"라는 분류 수준까지만 설명할 수 있고, 그 이하는 이 글의 근거 범위 밖입니다.
CVE 레코드가 확인해 주는 것은 공개 상태와 발행 주체입니다. state가 PUBLISHED이고 assignerShortName이 ivanti이므로, 벤더가 자신의 제품 취약점을 스스로 CNA로서 공식 발행했습니다. 이는 벤더가 취약점의 존재를 인정하고 공개했다는 뜻으로 읽을 수 있지만, 레코드 발췌에는 심각도나 영향 범위를 나타내는 값이 포함되어 있지 않습니다.
심각도는 KEV와 별개로 다뤄야 합니다. KEV 등재는 악용 확인 여부를 나타내는 표시이지 점수가 아닙니다. CVSS 점수와 그 산정 근거가 전달된 근거에 없으므로, 이 글은 심각도를 임의로 환산하지 않습니다.
공개 PoC가 확인되지 않았다는 사실도 같은 방식으로 해석해야 합니다. PoC 부재는 위험도가 낮다는 증거가 아니라, 악용이 확인되었다는 상태와 별도로 코드나 절차가 공개적으로 확인되지 않았다는 뜻입니다. KEV 등재와 함께 놓으면 "악용은 확인되었되 세부는 공개되지 않은 상태"라는 현재 상황의 설명이 됩니다.
대응 방안
현재 근거로 확정할 수 있는 대응은 하나입니다. Ivanti 공식 보안 권고에서 확인되는 수정 버전으로 적용하는 것이 근본 대응입니다. 다만 정확한 수정 버전과 패치 식별자가 제공된 근거에 없으므로, 권고 확인 전에는 적용 일정을 확정할 수 없습니다.
KEV 등재라는 사실은 항목을 미루지 말고 다루는 근거가 됩니다. 다만 그 배후에 있는 기한과 심각도 정보는 이 근거에 없으므로, 대응 일정을 세우려면 아래 항목을 먼저 채우는 순서가 됩니다.
- Ivanti 공식 권고에 명시될 영향 버전 범위와 수정 버전, 패치 식별자
- CISA KEV의 등재일과 조치 기한
- CVE 레코드와 NVD 기준의 CVSS 점수 및 심각도 산정 근거
- 악용 확인 상태에서 공개될 수 있는 탐지 시그니처 또는 IOC
구체적인 완화 설정이나 탐지 규칙, 사고 대응 절차는 전달된 근거에 없으므로 이 글에서 제시하지 않습니다. 특히 KEV 등재와 무관하게 "이렇게 막으세요" 식의 지침은 현 근거로는 뒷받침되지 않습니다.
근거의 한계
- 인증 우회의 상세 메커니즘, 우회되는 구성 요소, 공격 전제 조건과 시퀀스는 확인되지 않았습니다.
- 정확한 영향 버전 범위, 수정 버전, 패치 식별자가 근거에 없습니다.
- CVSS 점수와 심각도 산정 근거가 제공되지 않았습니다.
- KEV 등재일과 조치 기한이 확인되지 않았습니다.
- 공개 PoC, 독립 기술 분석, 실제 공격 사례의 세부 내용과 IOC는 조사 범위에서 발견되지 않았습니다.
참고자료
함께 읽으면 좋은 글
- CVE-2026-96656: Plex Media Server 임의 파일 쓰기, CISA KEV 등재로 본 점검 지점
- CVE-2026-105133: AhsayCBS 인증 우회 KEV 등재 점검
- HAgent MCP 도구의 OS 명령 삽입(CVE-2026-117573): hagent_arduino·hagent_esp32 점검 포인트
본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.
댓글 (0)
댓글을 작성하려면 로그인이 필요합니다.
로그인아직 댓글이 없습니다.
첫 번째 댓글을 작성해보세요!