1 / 3
SOLCOMBINE
긴급보안 취약점

이반티 VPN 취약점 실제 악용: 10월 패치로는 부족, 25.1.1.3·22.8R2.6 확인하세요

재택·외부 접속용 VPN 장비인 Ivanti Connect Secure에서 실제 공격에 쓰인 취약점 2건이 추가로 확인됐고, 10월 13일 패치만으로는 막히지 않습니다. 이 장비를 쓰는 회사·기관은 버전을 25.1.1.3 또는 22.8R2.6 이상으로 올리고 침해 흔적과 계정 비밀번호를 함께 점검해야 합니다.

무슨 일인가요?

  • Ivanti Connect Secure(이반티 커넥트 시큐어)는 직원이 회사 밖에서 사내 시스템에 접속할 때 쓰는 SSL VPN(암호화된 원격 접속 통로) 장비입니다. 10월 13일 인증 우회 취약점 CVE-2026-104935가 공개·패치됐는데, Ivanti는 10월 29일 보안 공지를 갱신해 같은 공격 연결고리에 쓰인 취약점 CVE-2026-111357(권한 상승)과 CVE-2026-118527(파일 업로드)을 추가로 밝혔습니다.
  • 미국 사이버보안·인프라보안청(CISA)은 10월 30일 두 취약점을 '실제 악용이 확인된 취약점 목록(KEV)'에 올렸습니다. 보안업체 Volexity와 Rapid7에 따르면 공격자는 10월 초 최신 패치까지 적용된 장비에 침입해 VPN·사내 계정 정보를 빼내려 했고, 흔적을 지우려고 로그 일부를 삭제했습니다.
  • 중요한 점은 10월 13일에 나온 25.1.1.2, 22.8R2.5 버전도 새로 밝혀진 두 취약점에는 해당된다는 것입니다. 또 공격 흔적이 Ivanti의 무결성 점검 도구(Integrity Checker Tool)에 잡히지 않을 수 있어, 점검 결과가 '정상'이어도 침해가 없었다고 단정할 수 없습니다.

해당되는 곳

  • Ivanti Connect Secure 25.1.1.2 및 이전 버전을 쓰는 회사·기관
  • Ivanti Connect Secure 22.8R2.5 및 이전 버전을 쓰는 회사·기관
  • 10월에 한 번 패치했다고 안심하고 있는 VPN 운영 담당자
  • VPN 계정을 사내 통합 계정(Active Directory 등)과 같이 쓰는 회사
  • VPN 장비를 외부 유지보수 업체에 맡겨 운영 중인 중소기업·기관

확인 방법

  1. VPN 장비 제품명 확인

    직원이 외부에서 접속할 때 쓰는 VPN이 Ivanti Connect Secure(예전 이름 Pulse Secure)인지 확인합니다. 모르면 전산 담당자나 유지보수 업체에 'VPN 장비 제조사와 제품명이 무엇인가요?'라고 물어보세요.

  2. 현재 버전 확인

    담당자는 VPN 관리자 화면의 시스템 정보에서 현재 버전을 확인합니다. 업체에는 '현재 버전이 25.1.1.3 또는 22.8R2.6 이상인가요?'라고 물어보세요.

  3. 10월 패치 이후 추가 조치 여부 확인

    25.1.1.2나 22.8R2.5로 올린 상태라면 새 취약점 2건은 아직 남아 있습니다. 10월 29일 갱신된 Ivanti 보안 공지 기준으로 다시 올렸는지 확인합니다.

  4. 로그 삭제·이상 접속 흔적 확인

    담당자는 장비 로그가 중간에 비어 있거나 지워진 구간이 없는지, 낯선 해외 IP의 관리자 접속이 없었는지 살펴봅니다. 무결성 점검 도구 결과가 정상이어도 로그 확인은 따로 해야 합니다.

예방 조치

  1. 안전 버전으로 긴급 업데이트

    Ivanti는 22.8 버전 사용자에게 25.1.1.3 이상으로 옮길 것을 권하고, 바로 옮기기 어려우면 22.8R2.6을 적용하라고 안내합니다. 정기 점검일을 기다리지 말고 업데이트 일정을 잡으세요.

  2. 업데이트 전 증거 보존

    침해가 의심되면 재부팅·초기화 전에 로그와 설정을 먼저 백업해 두어야 나중에 원인을 확인할 수 있습니다.

  3. VPN·사내 계정 비밀번호 변경

    VPN 계정과 연동된 사내 계정, 관리자 계정의 비밀번호를 바꾸고 다중 인증(비밀번호 외에 휴대폰 인증 등을 추가하는 방식)을 켭니다.

  4. 관리자 화면 외부 노출 차단

    VPN 장비의 관리자 화면은 인터넷 전체가 아니라 사내 지정 IP에서만 접속되도록 제한합니다.

이미 피해를 입었다면

  • 장비를 끄거나 초기화하기 전에 로그·메모리 등 증거를 보존하고, Ivanti 보안 공지의 복구 절차를 따릅니다.
  • VPN 계정, 사내 통합 계정(Active Directory 등), 관리자 계정 비밀번호를 모두 변경합니다.
  • KISA 보호나라(boho.or.kr) 또는 국번 없이 118로 침해사고를 신고하고 기술 지원을 요청합니다.
  • 개인정보가 유출됐을 가능성이 있으면 개인정보보호위원회 기준에 따라 유출 신고와 정보주체 통지 여부를 검토합니다.

출처

이반티 VPN 취약점Ivanti Connect SecureCVE-2026-111357CVE-2026-118527VPN 보안 점검CISA KEV