CISA가 정한 ScreenConnect 기한은 이틀 전에 끝났다. 1000대 넘게 여전히 노출돼 있다

CISA는 미국 연방기관에 ConnectWise ScreenConnect의 CVE-2026-84869를 사흘 안에 패치하라고 지시했다. 그 기한은 9월 14일에 만료됐다. 이틀이 지난 지금도 Shadowserver Foundation은 패치되지 않은 채 인터넷에 노출된 ScreenConnect 인스턴스를 1000대 넘게 집계하고 있다. 그중 758대가 북미, 180대가 유럽에 있다. 패치는 이달 초부터 나와 있었다. 공격은 8월 말부터 이어져 왔다.

이 두 사실 사이의 간극이 이 글의 요지다. 이것은 무기화되기를 기다리는 취약점이 아니다. 먼저 무기화됐고 목록화는 나중에 이뤄졌다. 그리고 아직 움직이지 않은 집단이야말로 애초에 당하게 될 집단이다.

결함의 실체

CVE-2026-84869의 CVSS 점수는 9.9다. ConnectWise는 이를 특정 상황에서 인가나 Host 확인 없이 활성 원격 세션을 통해 파일이 전송되고 실행될 수 있는 ScreenConnect 클라이언트의 상태로 설명한다. CISA 목록 항목은 부적절한 권한 관리 및 인가 누락으로 분류하고 있다.

숫자보다 이 표현이 더 중요하다. 이것은 메모리 손상 버그가 아니다. 무언가가 넘치거나 훼손되는 일은 일어나지 않는다. 소프트웨어는 설계된 대로 — 원격 세션 너머로 파일을 옮기고 실행하는 일 — 을 하고 있으며, 단지 그래도 되는지를 확인하지 않을 뿐이다. 공격 복잡도는 낮고 사용자 상호작용도 필요 없다는 점이 점수를 최상단까지 끌어올린다.

수정 내용에 대한 ConnectWise 자신의 설명은 좁고 정확하다.

ScreenConnect 26.6.5 패치에는 파일 전송 및 파일 실행 동작에 대한 클라이언트와 세션 처리를 강화하는 업데이트가 포함돼 있습니다.

패치가 나오기 전 회사가 내놓은 임시 조치는 TransferFiles 권한을 끄라는 것이었다. 기능 자체가 노출면이었음을 인정한 셈이다.

목록보다 공격 캠페인이 먼저 찾아냈다

이 활동을 먼저 보고한 쪽은 Huntress였다. 8월 말, 서로 무관한 여러 고객 환경에서 동일한 패턴을 확인한 것이 계기였다. SecurityWeek은 가장 이른 활동 시점을 8월 20일로 본다. 연구자들이 기술한 것은 취약한 서버를 찾는 인터넷 전역 스캔이 아니었다. 시작은 사회공학이었다. 기술지원을 가장한 사기, 피싱, 오염된 검색 결과를 통해, 도움을 받고 있다고 믿은 사용자의 컴퓨터에 비인가 ScreenConnect 클라이언트를 설치하게 만드는 방식이었다.

그다음은 결함이 알아서 했다. 비인가 클라이언트는 동일한 세션 인프라에 연결된 다른 단말로 스크립트를 밀어 넣고 실행시켰고, 피싱을 당한 적도 없고 아무 잘못도 하지 않은 호스트들에까지 웜과 같은 확산 형태를 만들어냈다.

곱씹어볼 대목은 여기다. 초기 침투는 평범했고 사람을 거쳤다. 확산을 담당한 것은 남의 컴퓨터에 대한 특권적 접근을 보유하는 것이 존재 이유의 전부인 도구의 권한 버그였다. ConnectWise는 10만 곳이 넘는 IT 사업자가 자사 제품을 쓴다고 밝힌다. 매니지드 서비스 제공업체의 ScreenConnect 배포란 구조적으로 그 업체가 접근할 수 있는 모든 장비의 목록이다. 그 안쪽에서 인가가 실패하면 침해된 호스트 한 대로 끝나지 않는다. 부챗살처럼 퍼진다.

게다가 이번이 처음도 아니다. 2024년 이후 CISA는 ScreenConnect 취약점 네 건을 실제 악용 중인 것으로 지목했고, 그중 두 건은 랜섬웨어 캠페인에, 한 건은 북한 연계 Kimsuky 그룹에 악용됐다. 원격 모니터링·관리 소프트웨어는 이제 상시 표적 범주다. 이유는 명백하다. 침입자가 원하는 바로 그 장비들에 이미 설치돼 있고, 이미 신뢰받고 있으며, 이미 인가돼 있기 때문이다.

방어자가 해야 할 일

ScreenConnect 클라이언트를 26.6.5로 업데이트할 것. 즉시 어렵다면 ConnectWise가 권고한 대로 TransferFiles 권한을 비활성화할 것. 패치는 확산 경로를 막지만 이미 일어난 일을 되돌리지는 못하며, 이번 악용 창은 대략 4주 폭으로 열려 있었다.

Huntress의 지침은 온프레미스 ScreenConnect 설치는 모두 각별히 점검해야 하며, 영향을 받은 것으로 확인된 호스트는 제자리에서 정리하지 말고 신뢰할 수 있는 매체나 깨끗한 운영체제 설치로 재구축하라는 것이다. 공개된 지표는 방어 목적이며 직접 확인해볼 가치가 있다. ScreenConnect 프로세스에서 예기치 않게 생성되는 Windows Script Host, AppData의 스크립트 파일을 가리키는 수상한 사용자 Run 키, 게스트 프로세스에 귀속된 파일 실행 동작을 보여주는 ScreenConnect 감사 로그 항목, 그리고 설명되지 않는 2차 원격 접속 도구가 ScreenConnect와 함께 설치돼 있는지 여부다. 기술적 세부는 ConnectWise 공지와 Huntress 보고서에 있다.

불편한 결론은 ScreenConnect만의 이야기가 아니다. 사흘짜리 연방 시계가 달린 KEV 등재는 미국 정부가 특정 소프트웨어에 대해 낼 수 있는 거의 가장 큰 경고음이다. 그런데도 시계가 멈춘 뒤 1000대가 넘는 인스턴스가 패치되지 않은 채 인터넷에 놓여 있다. 권고 체계는 작동했다. 패치 적용이 작동하지 않았다.

Sources: ConnectWise security bulletin, 8 September 2026 · Huntress: Rogue ScreenConnect Installations Across Unrelated Hosts Suggest Worm-Like Activity · CISA Known Exploited Vulnerabilities Catalog · BleepingComputer: Critical ScreenConnect flaw now actively exploited in attacks · SecurityWeek: ConnectWise Patches ScreenConnect Vulnerability Exploited in Worm-Like Attacks · The Hacker News: CISA Adds 5 Actively Exploited Artifactory, ScreenConnect, and RouterOS Flaws to KEV