CVE-2026-118527: Ivanti Connect Secure 예측 가능한 식별자와 파일 업로드 체인 KEV 등재 점검

CVE-2026-118527에 대해 이번에 확인 가능한 근거는 미국 CISA의 Known Exploited Vulnerabilities(KEV) 카탈로그 기재, 이를 안내하는 공지, 그리고 BOD 26-04 이행 지침 세 건입니다. 확인되는 내용은 길지 않습니다. 그래서 이 글은 CISA 근거로 확인되는 사실과 아직 확인되지 않은 항목을 분리하고, 확인되지 않은 부분은 한계로 남긴 채 지금 시점에서 판단해야 할 항목만 정리합니다.

개요

CVE-2026-118527는 Ivanti Connect Secure의 예측 가능한 숫자 또는 식별자 생성(generation of predictable numbers or identifiers) 취약점입니다. CISA KEV 카탈로그 기재에 따르면 이 취약점은 원격의 인증된 공격자(remote authenticated attacker)가 공격자가 제어한 내용을 담은 파일을 디스크 상 이미 알려진 위치(known location on disk)에 업로드할 수 있게 합니다. 같은 기재는 이 취약점이 CVE-2026-104935, CVE-2026-111357과 연계될 수 있다(can be chained)고 안내합니다.

CISA는 2026년 10월 30일, 활발한 악용(active exploitation) 증거를 근거로 KEV 카탈로그에 취약점을 추가했다고 공지했습니다. 따라서 이번 건의 심각도는 CVSS 점수나 제조사 위험 등급이 아니라, 실제 악용 증거를 근거로 한다는 CISA의 판단에서 나옵니다. 이번 증거 범위에는 CVSS 점수와 제조사 자체 심각도가 포함되지 않았습니다.

영향 범위

CISA KEV 기재 기준의 영향 제품은 Ivanti Connect Secure입니다. 다만 정확한 영향 버전 범위와 수정 버전, 제조사 어드바이저리의 KB/CU 번호는 이번 증거에서 확인되지 않았습니다. 버전 단위로 대상을 특정하는 작업은 제조사 자료가 확인된 뒤에도 한 번 더 검증이 필요합니다.

공격 성립 조건에 대해 이번에 확인되는 것은 CISA KEV 기재가 공격 주체를 remote authenticated attacker, 즉 인증된 원격 공격자로 명시한다는 사실까지입니다. 아래는 제공된 근거를 기준으로 이번 건의 점검 범위로 볼 수 있는 환경입니다.

• Ivanti Connect Secure를 운영 중인 환경
• CISA KEV 기재대로 원격의 인증된 공격자가 접근할 수 있는 환경(기재된 전제 조건은 인증된 상태)

영향 제품의 버전 범위와 구성 조건이 확인되지 않았으므로, 위 항목은 제품 운영 여부로 점검 대상의 넓이를 정하는 출발점으로만 해석해야 합니다. 제품 구현 방식이나 네트워크 노출 상태처럼 이번 근거에 없는 속성까지 전제하면 점검 범위를 근거 없이 넓히거나 반대로 좁게 만들 수 있습니다.

연계 대상으로 명시된 CVE-2026-104935, CVE-2026-111357에 대해서도 두 취약점의 상세 내용과 각각 어떤 제품·버전에 적용되는지는 이번 근거에 없습니다. 따라서 연계 기재는 그 자체로 확인된 기재 사실로만 다루고, 공격 성공률이나 피해 규모를 나타내는 지표로는 읽지 않는 편이 안전합니다.

기술적 분석

확인되는 동작의 범위

CISA KEV 기재가 확인하는 동작은, 예측 가능한 숫자 또는 식별자 생성 약점을 이용해 원격 인증된 공격자가 공격자 제어 내용을 담은 파일을 디스크의 알려진 위치에 업로드할 수 있다는 점까지입니다. 업로드된 파일이 이후 어떤 경로로 실행되거나 어떤 권한으로 처리되는지는 이번 근거에서 확인되지 않았습니다.

카탈로그는 CVE-2026-104935, CVE-2026-111357과의 연계 가능성을 명시합니다. 다만 이것이 필수적인 공격 경로를 의미하는지, 연계가 실제로 관측된 조합인지, 연계 결과로 어떤 효과가 나타나는지는 이번 근거로 확인할 수 없습니다.

인증 조건과 악용 정황

이번 건의 악용 상태는 CISA가 active exploitation 증거를 근거로 KEV 카탈로그에 등재했다는 사실로 확인됩니다. 여기에 인증된 상태를 전제로 파일 업로드가 가능하다는 기재가 더해집니다. 확인 범위는 여기까지이며, 공격 절차의 세부 단계나 권한 상승의 형태, 실제 침해 사례의 상세는 제공된 자료의 범위 밖에 있습니다.

한계

• 연계 결과 어떤 단계(코드 실행, 인증 우회 등)로 이어지는지는 확인되지 않았습니다.
• CVE-2026-104935, CVE-2026-111357 각 취약점의 상세와 적용 범위는 이번 근거에 없습니다.
• 영향 및 수정 버전과 Ivanti 공식 어드바이저리의 KB/CU 번호가 확인되지 않았습니다.
• 공개 PoC, 기술 상세 연구, 독립 보안업계 분석은 확인되지 않았습니다.
• 구체적 IOC와 탐지 시그니처, 악용 흔적도 제공된 근거에 없습니다. 그래서 이번 글은 특정한 로그 필드나 탐지 조건을 제시하지 않습니다.

대응 방안

우선순위를 정하는 절차

CISA는 BOD 26-04 이행 지침에서, 기관이 해당 취약점이 3일 미만의 조치 임계값(remediation threshold)에 해당하는지를 식별하고, 시스템이나 네트워크 인프라가 영향을 받았거나 침해됐는지 평가하기 위한 포렌식 트리아지(forensic triage)가 필요한지를 판단하도록 요구합니다. 제공된 인용문은 이 두 사항을 같은 절차의 식별 대상으로 나란히 적시하고 있을 뿐, 트리아지 필요 여부 판단이 3일 미만 임계값 식별 결과에 따라야 한다는 순서는 담고 있지 않습니다. 이 요구는 연방 기관에 적용되는 절차이지만, 사설 환경에서도 무엇을 먼저 판단할지 항목을 정하는 참고 기준으로 삼을 수 있습니다.

• Ivanti Connect Secure를 어디에서 얼마나 운영 중인지 먼저 확정합니다. 범위가 확정되지 않으면 아래 두 식별 항목을 적용할 대상 자체가 정해지지 않습니다.
• 이 취약점이 3일 미만의 조치 임계값에 해당하는지 식별합니다.
• 별개로, 시스템이나 네트워크 인프라가 영향을 받았거나 침해됐는지 평가하기 위한 포렌식 트리아지가 필요한지도 판단합니다.

침해 확인과 탐지 한계

BOD 26-04가 말한 포렌식 트리아지는 시스템 또는 네트워크 인프라가 영향을 받았거나 침해됐는지를 평가하는 단계입니다. 다만 이번 근거에는 트리아지에서 대조할 IOC나 탐지 시그니처가 없습니다. 확인된 악용 상태는 KEV 등재 근거인 활발한 악용 사실이며, 어떤 지표로 악용을 찾아낼지는 제공된 자료에서 확인되지 않았습니다. 따라서 트리아지 범위를 정하기 전에, 이번 근거 자체가 탐지 기준을 제공하지 않는다는 한계를 먼저 분명히 해야 합니다.

패치 범위 판단

CVE-2026-104935, CVE-2026-111357과의 연계 가능성 외에 패치와 관련된 정보는 이번 근거에 없습니다. 정확한 영향 버전과 수정 버전, 제조사 권고가 확인되지 않았으므로 이 글은 수정 대상 버전, 패치 순서, 구성 통제 항목을 지시하지 않습니다. 패치 대상 특정은 Ivanti 공식 자료가 확인된 뒤 그 기준으로 다시 판단해야 합니다. CISA KEV 기재가 CVE-2026-118527에 대해 CVE-2026-104935 및 CVE-2026-111357과 연계될 수 있다고 명시하는 것까지가 이번 근거의 범위이고, 연계의 조건이나 결과, 거기서 도출할 수 있는 조치 범위는 확인되지 않았습니다.

참고자료

• Catalog of Known Exploited Vulnerabilities - CVE-2026-118527 entry (catalogVersion 2026.10.30)
• CISA Adds Two Known Exploited Vulnerabilities to Catalog
• BOD 26-04: Implementation Guidance for Prioritizing Security Updates Based on Risk

함께 읽으면 좋은 글

• CVE-2026-118550 Drupal AI 모듈 접근 우회(SA-CONTRIB-2026-270) 분석과 점검
• CVE-2026-109618: PHP 메모리 손상 결함의 KEV 등재와 미인증 RCE 노출 환경 점검
• Tamery(구 Conar) 클라우드 동기화 API의 행 단위 권한 우회와 AI 대화 무결성

본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.