취약점의 대응 순서를 실제로 앞당기는 것은 점수보다 공격에 사용되고 있다는 정황입니다. CVE-2026-111357는 확인된 사실만 놓고 봐도 후자 쪽에 놓입니다. 아래에서는 확인된 내용과 아직 확인되지 않은 내용을 구분해, 이 건이 운영 환경의 점검 범위와 우선순위에 어떤 의미를 주는지 정리합니다.
개요
CVE-2026-111357는 Ivanti Connect Secure에서 핵심 기능에 대한 인증 누락(missing authentication for critical function)으로 분류되는 취약점입니다. MITRE CVE 레코드는 이 건을 dsinvoked/DSCache와 관련된 권한 상승(privilege escalation)으로 설명하며, MITRE 할당으로 게시(PUBLISHED)된 레코드입니다. CISA Known Exploited Vulnerabilities 카탈로그에도 등재되어 있어, 실제 공격에 사용된 취약점으로 인정된 상태입니다.
위협 리서치 기관 Volexity는 Ivanti Connect Secure 제로데이들이 연쇄(chain) 형태로 악용된 사례를 공개하며 이 권한 상승 취약점이 그 흐름에 포함되었음을 밝혔고, 활발한 야생 악용(active in-the-wild exploitation)을 확인했다고 설명했습니다. Volexity의 글이 나온 시점에는 Ivanti가 패치를 개발 중이었으며, Ivanti는 2026년 10월 29일 CVE-2026-111357로 추적되는 이 권한 상승 취약점을 해결하는 패치를 공개했습니다.
영향 범위
- Ivanti Connect Secure가 직접적인 영향 대상입니다. 제공된 CVE 레코드 제목에는 22.8R2.4 버전이 언급되지만, 이것이 영향 버전 전체를 뜻하는지는 이번 자료로는 확인되지 않습니다. 운영 중인 버전이 영향 범위에 드는지는 Ivanti 공식 자문으로 판단해야 합니다.
- CISA KEV 등재는 이 취약점이 실제 공격에 사용되었음이 인정되었다는 표시입니다. 다만 KEV 등재일과 연방 기관 대응 기한(Due Date)은 이번 근거에 포함되어 있지 않아 카탈로그 원문 확인이 필요합니다.
- 다른 취약점과 함께 연쇄로 활용된 사례가 보고되어 있으므로, CVE-2026-111357 하나만을 기준으로 노출 판단을 좁히면 같은 공격 흐름의 다른 요소를 놓칠 수 있습니다. 이 건은 단일 취약점 점검이 아니라 해당 장비의 전체 취약점 노출 재평가의 출발점으로 보는 편이 안전합니다.
기술적 분석
MITRE CVE 레코드와 CISA 카탈로그가 확인하는 분류는 핵심 기능에 대한 인증 누락입니다. CVE 레코드는 이를 dsinvoked/DSCache와 관련된 권한 상승으로 설명합니다. 이 취약점에 대해 확인된 대응 사실은 Ivanti가 2026년 10월 29일에 CVE-2026-111357로 추적되는 패치를 공개했다는 것이며, 정확한 적용 절차와 업그레이드 방법은 Ivanti 공식 자문으로 확인해야 합니다.
Volexity의 분석에 따르면 이 권한 상승 취약점은 제로데이 형태의 연쇄 공격에 활용되었고, Volexity는 활발한 야생 악용을 확인했습니다. 존재가 알려진 시점과 2026년 10월 29일 패치 출시 사이에 시간차가 있다는 사실은, 실제 운영 환경에서 노출 기간이 상당했을 가능성을 시사합니다. 연쇄라는 표현은 권한 상승이 단독 성공 요인이라기보다 침입 흐름의 한 단계로 쓰였을 수 있음을 보여 주며, 그래서 장비 제어권 획득이라는 결과 가능성이 거론됩니다. 이 부분은 확인된 연쇄 활용 형태에 따른 조건부 해석이며, 특정 환경의 실제 침해를 단정하는 진술이 아닙니다.
Volexity는 같은 글에서 Ivanti Integrity Checker Tool의 탐지 한계도 함께 다룹니다. 검사 도구의 결과만으로 장비 상태를 안심할 근거로 삼기는 어렵다는 정도로 읽어 둘 필요가 있고, 이는 이 건의 판단 기준이 검사 통과 여부가 아니라 패치 적용과 최신 벤더 안내가 되어야 한다는 뜻으로 읽힙니다.
동일한 CVE 레코드는 CVSS v3.1 기본 점수 7.0과 벡터 AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H를 제공합니다. 이 수치 자체는 확인된 값이지만, 운영 우선순위를 정할 때는 점수 단독 기준보다 야생 악용 확인과 CISA KEV 등재라는 사실과 함께 읽는 편이 안전합니다. 반면 영향 버전 전체 목록, KEV 등재일과 대응 기한, 패치 버전 번호나 KB 식별자는 제공된 근거에 포함되어 있지 않습니다. 내부 코드 수준의 상세 경로와 구체적 공격 절차도 확인된 수준을 넘어서 서술하기 어렵습니다. 공개 PoC의 존재 여부도 확인되지 않았는데, 이는 존재하지 않는다는 사실과는 다른 상태이므로 공개 코드의 유무를 근거로 위험도를 낮추는 판단은 피해야 합니다. 같은 이유로 이 글에서는 IOC 목록이나 특정 시그니처 기반 헌팅 지침을 제시하지 못합니다.
대응 방안
지금 우선순위에 놓을 것
- 운영 중인 Ivanti Connect Secure 버전을 확인하고 이 취약점의 영향 범위에 드는지 점검합니다. 22.8R2.4 이외의 버전 목록은 이번 자료로 확인되지 않으므로, 버전이 애매한 항목은 Ivanti 공식 자문을 기준으로 판단합니다.
- Ivanti가 2026년 10월 29일 공개한 패치를 기준으로 업그레이드를 계획합니다. 정확한 패치 버전과 업그레이드 경로는 Ivanti 공식 자문에서 확인합니다.
- CISA KEV 등재와 야생 악용 확인이라는 두 사실은, 이 패치를 통상적인 점검 주기로 미루지 말아야 할 근거로 해석하는 편이 안전합니다.
근본 대응과 침해 판단의 한계
- 2026년 10월 29일 공개된 Ivanti 공식 패치 적용이 근본 대응입니다. KEV 등재일과 기관별 대응 기한은 이번 근거에 없으므로 CISA 카탈로그 원문으로 확인해야 합니다.
- 연쇄 활용 사례가 보고된 만큼, 패치 적용 후에도 장비 무결성 점검과 전체 취약점 노출 재평가를 함께 봐야 합니다.
- 이번 근거에는 침해 점검에 바로 쓸 수 있는 IOC나 탐지 시그니처가 포함되어 있지 않습니다. 그래서 특정 로그 항목이나 지표를 지정한 헌팅 지침은 제시하지 않으며, 침해 여부 판단과 탐지 기준은 Ivanti 공식 자문과 Volexity 등 위협 리서치 자료의 최신 지표를 확인해 정해야 합니다.
참고자료
- CVE-2026-111357 record (Ivanti Connect Secure 22.8R2.4 dsinvoked/DSCache privilege escalation)
- Known Exploited Vulnerabilities Catalog - CVE-2026-111357 (Ivanti Connect Secure)
- A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days (privesc mechanism)
함께 읽으면 좋은 글
- CVE-2026-110732: WordPress AI Engine의 MCP OAuth 등록 권한 검사 누락, 관리자 계정 탈취 위험은 어디까지 확인됐나
- CVE-2026-76418: Cisco Secure Firewall ASA/FTD SSL VPN 원격 서비스 거부 취약점 분석
- CVE-2026-119050: Agno PandasTools의 unsafe reflection, 코드 실행 가능성과 점검 순서
본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.
댓글 (0)
댓글을 작성하려면 로그인이 필요합니다.
로그인아직 댓글이 없습니다.
첫 번째 댓글을 작성해보세요!