미국 CISA, 이반티 VPN 취약점 2건 악용 목록 추가…캐나다도 업데이트 권고

미국 사이버보안·인프라보안국(CISA)이 30일 이반티 커넥트 시큐어 VPN의 취약점 두 건을 실제 악용이 확인된 취약점 목록(KEV)에 추가했다. 캐나다 사이버보안센터도 같은 날 관련 경보를 갱신하고 필요한 보안 업데이트를 적용하라고 권고했다.

CISA가 추가한 것은 CVE-2026-111357과 CVE-2026-118527이다. 전자는 주요 기능의 인증이 빠진 취약점, 후자는 예측 가능한 번호나 식별자를 생성하는 취약점으로 분류됐다. 목록 등재는 공격에 쓰인 증거가 있다는 뜻이지 모든 설치 장비가 침해됐다는 의미는 아니다.

앞서 공개된 인증 우회와 연결된 공격

보안업체 볼렉시티는 이달 초 이반티 커넥트 시큐어 장비를 조사하면서 인증 우회, 파일 실행, 권한 상승을 잇는 공격을 확인했다고 13일 공개했다. 공격자는 장비에서 명령을 실행한 뒤 최고 관리자 권한을 얻었고, 볼렉시티가 조사한 환경에선 계정 정보와 내부망 자료를 찾거나 빼내려는 행위도 관찰됐다. 이는 조사 사례에서 확인한 범위다.

볼렉시티에 따르면 초기 인증 우회와 원격 코드 실행은 CVE-2026-104935로 추적돼 13일 수정됐다. 볼렉시티는 29일 덧붙인 설명에서 권한 상승 문제인 CVE-2026-111357도 이반티가 수정했다고 밝혔다. 따라서 13일 공개된 초기 패치만 적용했는지와 최신 수정본을 적용했는지는 구별해야 한다.

장비 버전 확인과 침해 조사 별개

캐나다 사이버보안센터가 30일 갱신한 경보는 커넥트 시큐어의 25.1.1.3, 25.1.3.1, 22.8R2.6 이전 버전을 영향 대상으로 열거했다. 실제 적용할 수정 버전은 운용 중인 제품 계열과 이반티의 해당 보안 공지를 대조해야 한다. 캐나다 당국은 관리자에게 관련 링크를 검토하고 필요한 업데이트를 적용하라고 권고했다.

업데이트만으로 과거 침해 여부가 밝혀지는 것은 아니다. 볼렉시티는 자신이 조사한 공격에서 메모리의 변경을 원상복구하고 로그 일부를 지우는 흔적을 확인했다. 이 방식은 이반티의 무결성 검사 도구가 디스크 변조를 찾지 못할 수 있어 의심 장비는 별도 포렌식 조사가 필요하다고 설명했다. 특정 국내 기관의 피해 여부는 확인되지 않았다.

대표 이미지: AI 생성 이미지 / 데이마크

자료: 미국 CISA(2026년 10월 30일) https://www.cisa.gov/news-events/alerts/2026/10/30/cisa-adds-two-known-exploited-vulnerabilities-catalog

캐나다 사이버보안센터(2026년 10월 30일 갱신) https://www.cyber.gc.ca/en/alerts-advisories/ivanti-security-advisory-av26-1035

볼렉시티(2026년 10월 13일 공개, 29일 추가 설명) https://www.volexity.com/blog/2026/10/13/a-series-of-unauthenticated-events-chained-exploitation-of-ivanti-connect-secure-zero-days/