Ivanti 제로데이 연쇄, 완전히 패치된 VPN에서 root를 가져갔다. 자사 Integrity Checker는 아무 말도 하지 않았다

Ivanti는 10월 13일 CVE-2026-104935를 공개하고 같은 날 수정판을 배포했다. 악용을 찾아낸 Volexity도 몇 시간 안에 침해 경위를 공개했다. 두 문서를 함께 읽으면, 거기에 적힌 것은 "심각도 높은 VPN 취약점이 또 하나" 보다 나쁜 사태다. Ivanti가 제공하던 최신 빌드로 돌아가던 장비가 root까지 넘어갔고, 그 존재를 Ivanti 자신의 Integrity Checker Tool은 알리지 않았다.

Ivanti가 고친 것과 고치지 않은 것

CVE-2026-104935는 Ivanti Connect Secure의 두 결함, 즉 인증 우회와 원격 코드 실행을 묶은 것으로 CVSS v3.0 기준 8.6이다. CISA는 같은 날 이를 Known Exploited Vulnerabilities(알려진 악용 취약점) 목록에 추가했다. Ivanti는 악용이 공개보다 앞서 있었고 "제한된 수의 고객"에 영향을 미쳤다고 밝혔다.

중요한 것은 연쇄이며, CVE는 그 전부를 덮지 않는다. Volexity는 같은 순서 안에서 root에 도달하기 위해 쓰인 세 번째 결함, 권한 상승 취약점을 기술한다. 그것은 고쳐지지 않았다. Ivanti는 "앞으로 몇 주 안에" 대응할 계획이라고 밝혔다.

즉 화요일의 패치는 현관을 닫고 계단을 남겼다. 이 구분은 학술적이 아니라 실무적이다. 업그레이드하면 UTA0576이 쓴 인증 불필요 진입점은 사라지고, 그것이 노출의 대부분이다. 그러나 장비에는 다른 경로로 들어온 자가 코드 실행에서 root로 올라가는 알려진 길이 여전히 남는다.

세 가지 보증이 한꺼번에 무너졌다

Volexity가 조사한 장비는 22.8R2.4, 빌드 19097로 돌아가고 있었다. 침해 당시 받을 수 있는 최신 버전이다. 패치 최신성이 구멍이었던 것이 아니다.

디스크에서 찾을 것도 없었다. Volexity는 웹셸도 백도어도 없었다고 보고한다. 공격자는 명령 전송과 결과 수거를 악용 자체의 통신 경로로 처리했다. 지속성의 수단은 단순한 재악용이었고, 인터넷에 노출된 장비를 상대로 그것은 아무 비용도 들지 않는다.

그리고 바로 이 질문을 위해 Ivanti가 고객에게 주는 도구는 조용했다. Integrity Checker Tool은 침해를 탐지하지 못했다. 공격자는 디버그 로그와 감사 로그에서 기록을 지우고, 자신이 바꾼 메모리 상태를 되돌려 놓기도 했다.

이 중 하나만으로도 충분히 나쁜 날이다. 셋이 겹치면, 그것은 이 부류의 장비에 대해 성립하지 않는 보증 모델을 서술하는 것이 된다. 무결성 검사기가 암묵적으로 약속하는 바는, 그것을 돌린 고객이 메모리 포렌식을 외부에 맡기지 않고도 깨끗한 장비와 더러운 장비를 구별할 수 있다는 것이다. 이번에는 그럴 수 없었다. 그리고 Shadowserver의 집계로 인터넷에 노출된 Connect Secure는 5,500대가 넘는다. 그중 한 대를 운영하는 모든 조직이, 자신이 Ivanti가 말한 "제한된 수" 안에 있었는지 값싸게 확인할 방법이 없는 처지에 놓였다.

피해 범위는 장비가 아니라 디렉터리다

Volexity가 열거한 침해 후 활동은 자격 증명 탈취, Active Directory와 LDAP 질의, 패스워드 스프레이, 데이터 유출, 네트워크 정찰, 로그 조작에 이른다. 디렉터리 질의 가운데 두 항목은 두 번 읽을 가치가 있다. LAPS 패스워드와 BitLocker 복구 정보다. LAPS는 도메인 가입 장비의 로컬 관리자 패스워드를 보관한다. BitLocker 복구 키는 디스크를 연다.

VPN 집중장치가 그 자리에 놓이는 이유는 모두를 인증해야 하기 때문이고, 그것은 디렉터리와 대화해야 한다는 뜻이며, 다시 그때 쓰는 계정이 그 뒤에 있는 무엇에도 못지않게 공격자에게 매력적이라는 뜻이다. 패치하고 재부팅하고 넘어가는 조직은 장비를 수리한 것이고 사고를 끝낸 것이 아니다. 의미 있는 복구 작업은 그 장비가 읽을 수 있었던 것, 또는 그 자격으로 인증할 수 있었던 것을 모두 교체하는 일이다.

Volexity는 활동이 차단된 시점에 이 작전이 측면 이동과 더 넓은 네트워크 침해를 준비하던 단계였다고 높은 확신으로 평가한다. 달리 말하면, 무엇을 위한 작전이었는지는 아무도 보지 못했다.

언어 모델에 관한 한 문장

Volexity 보고서 안에는 CVE보다 더 많이 인용될 문장이 하나 있다. 이 회사는 UTA0576으로 추적하며 이전에 기록된 바 없는 주체라고 설명하는 이 공격자가 익스플로잇 개발과 침해 후 작업에 대규모 언어 모델을 쓴다고 중간 확신으로 평가하며, 2026년에 조사한 다른 작전들과도 부합한다고 밝혔다. 별도로, 동기는 첩보가 아니라 범죄라고 낮은 확신으로 평가했다.

귀속이 정해지지 않은 주체에 대한 "중간 확신"은 새로운 역량 단계의 증거가 아니며 그렇게 읽혀서도 안 된다. 그것이 보여주는 바는 무엇이 특기할 만한지의 기준이 움직였다는 것이다. 모델이 거드는 도구 사용은 이제 사고 보고서 안에서, 패스워드 스프레이와 나란히, 범죄적 침입에 관한 평범한 서술로 등장한다.

운영자가 이번 주에 해야 할 일

22.8R2.5, 25.1.1.2, 25.1.3.0, 25.1.3.1 가운데 하나로 업그레이드한다. 22.7 계열과 그 이전은 영향을 받지 않는다. Integrity Checker의 판정은 그것만으로는 불충분하다고 다룬다. Volexity 보고서는 주목할 요청 패턴과 라우팅 헤더 불일치를 제시하고 침해 지표도 공개하지만, 10월 3일 이후 도달 가능했을 수 있는 장비에 믿을 만한 답을 주는 것은 네트워크와 메모리 포렌식이다. 장비가 도달할 수 있었던 디렉터리 자격 증명, LAPS 패스워드, BitLocker 복구 키를 교체한다. 그리고 두 번째 패치를 계획에 넣어둔다. 연쇄 가운데 결함 하나는 아직 열려 있기 때문이다.

Sources: Volexity, Rapid7, BleepingComputer, SecurityWeek, CISA Known Exploited Vulnerabilities catalog