SECUJUNSECURITY NEWS
Ivanti Connect Secure CVE-2026-104935 실제 악용, VPN 장비에서 계정정보 탈취
Volexity는 10월 초 당시 최신 패치가 적용된 VPN 장비에서 인증 우회·원격 코드 실행·권한 상승의 연쇄 악용을 확인했다. Ivanti는 CVE-2026-104935 수정판을 배포했으며, 별도 권한 상승 문제는 후속 수정 예정이다.
실제 악용 확인 · CVE-2026-104935 수정 · 별도 권한 상승 문제 수정 예정
원문 기반 한국어 요약
Volexity는 10월 5일 고객사의 의심 활동을 조사해 당시 최신 패치였던 Ivanti Connect Secure 22.8R2.4(Build 19097) 장비의 침해를 확인했다. 조사에 따르면 공격 그룹 UTA0576은 10월 3일부터 인증 우회, 임시 파일을 이용한 코드 실행, 별도 권한 상승 문제를 연쇄 악용해 장비에서 root 권한으로 명령을 실행했다. [1]
Volexity는 인증 우회와 원격 코드 실행 부분이 CVE-2026-104935로 추적되며 10월 13일 배포된 패치에서 수정됐다고 밝혔다. 권한 상승 부분은 별개의 취약점으로, Volexity의 10월 13일 발표 시점에는 Ivanti가 후속 릴리스용 수정 작업을 진행 중이었다. [1]
Volexity가 조사한 장비에서 공격자는 VPN 장비에 저장된 LDAP용 도메인 자격 증명을 추출하고, Active Directory 정보를 반출했으며, LAPS 암호·BitLocker 복구 키 등 고가치 속성을 검색했다. Volexity는 로그 삭제와 메모리 내 변경·복원 때문에 Ivanti Integrity Checker만으로 침해를 확인하기 어려울 수 있다고 설명했다. [1]
영국 NHS England는 10월 13일 CVE-2026-104935의 실제 악용을 알리고, 영향을 받는 Ivanti Connect Secure 운영기관에 제조사 권고를 확인해 관련 업데이트를 신속히 적용하라고 안내했다. NHS 경보는 인증 없는 원격 명령 실행 가능성과 CVSS 8.6도 명시했다. [2]
Volexity는 영향을 받는 장비의 패치 적용과 함께 VPN 장비에서 시작된 횡적 이동 징후, 비정상적인 인증 요청, 침해 후 활동을 조사하도록 권고했다. 침해가 의심되면 네트워크·메모리 포렌식이 필요할 수 있다고 밝혔다. [1]
근거: 아래 출처 [1] · [2] · 원문 전체 번역이 아닌 핵심 내용의 번역·요약
자료 확인 범위
Volexity가 공개한 구체적 침해 행위는 조사 대상 고객의 VPN 장비에서 확인된 내용이다. 다른 조직 전체의 피해 규모나 공격자의 최종 목적은 확인되지 않았다. 패치가 적용된 CVE-2026-104935와 당시 아직 수정되지 않은 별도 권한 상승 문제를 동일한 수정 상태로 취급해서는 안 된다.
출처 및 레퍼런스
- VolexityA Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days발표·갱신: 2026-10-13 · 확인: 2026-10-14
사고 조사 원문에서 악용 시작일, 대상 버전, 취약점 연쇄, 확인된 침해 행위, 패치·미수정 상태와 포렌식 권고를 확인했다.
- NHS England DigitalIvanti Releases Security Updates for Connect Secure발표·갱신: 2026-10-13 · 확인: 2026-10-14
영국 정부 보건부문 경보에서 CVE, 실제 악용, CVSS 8.6, 인증 없는 원격 명령 실행 가능성과 신속한 업데이트 권고를 확인했다.
이 게시물 작성에 직접 사용한 출처 전체입니다.