Sophos UTM 경로 조작 취약점과 원격 코드 실행 대응

무슨 일이 생겼나요

KISA 보호나라가 Sophos UTM의 보안 문제에 대응하는 업데이트를 권고했어요. 정해진 창구로 들어온 우편물이 안내 경로를 벗어나 관리실까지 들어가는 상황에 비유할 수 있어요. 이번 문제는 장비가 처리하는 경로를 공격자가 조작해, 장비 안에서 자신이 원하는 코드를 실행할 수 있다는 점에 있어요.

대상 취약점은 CVE-2026-118633이며, 보호나라 게시일은 2026-10-30이에요. 영향받는 버전은 Sophos UTM 9.724 이하로 안내됐고, 해결 조치는 해결 버전으로 마이그레이션하는 것이에요. 마이그레이션은 현재 운영 환경을 해결된 버전의 환경으로 옮기는 작업을 뜻해요.

공격 조건에는 이메일을 중계하는 기능인 이메일 프록시와 검사 기능의 사용 여부가 포함돼요. 따라서 Sophos UTM을 운영한다면 버전뿐 아니라 해당 기능을 실제로 사용하는지도 살펴야 해요. CISA KEV 에는 아직 등재되지 않았다.

기술적으로는 (초급 개발자용)

취약점 유형은 경로 조작과 원격·임의 코드 실행이에요. 경로 조작은 프로그램이 다뤄야 하는 위치의 경계를 벗어나도록 경로를 바꾸는 문제이고, 임의 코드 실행은 공격자가 정한 프로그램 동작을 실행할 수 있다는 뜻이에요. 관련 분류인 CWE-35는 경로 순회 취약점의 한 유형을 가리켜요. 이번 문제에서는 경로를 벗어나는 처리가 코드 실행으로 이어질 수 있어요.

공격자는 원격에서 로그인 인증을 거치지 않고 공격을 시도할 수 있어요. 다만 이메일 프록시에서 검사 기능을 사용하는 환경이라는 조건이 있으며, 반복적인 공격 과정에서 경쟁 상태를 이용해야 해요. 경쟁 상태란 여러 처리가 겹칠 때 실행 순서나 시점에 따라 결과가 달라지는 상황이에요. 이번 문제를 단순히 요청을 보내면 항상 성공하는 동작으로 이해해서는 안 돼요.

공격에 성공하면 루트 권한으로 코드가 실행될 수 있어요. 루트는 장비 운영체제의 최상위 관리자 권한을 뜻해요. 따라서 이메일 검사 작업의 오류에 머무르지 않고 장비 자체의 동작에 영향을 줄 수 있는 문제로 다뤄야 해요. 구체적인 경로 처리 방식이나 내부 구현은 추정해서 대응 절차에 넣지 않는 편이 적절해요.

NVD 게시일은 2026-10-28이며, CVSS 4.0 기준 점수는 9.2, 심각도 표기는 CRITICAL이에요. CVSS는 취약점의 공격 조건과 영향을 공통 기준으로 평가하는 체계예요. 이 점수는 대응 우선순위를 판단하는 근거이며, 특정 장비에서 공격이 성공했다는 판정이나 공격 성공률을 뜻하지는 않아요.

누가 영향을 받나요

일반 사용자

일반 이용자는 자신이 쓰는 메일의 처리 과정에 Sophos UTM이 있는지 알기 어려울 수 있어요. 회사나 기관에서 이 장비로 이메일을 중계하고 검사한다면, 관련 대응은 해당 장비를 관리하는 담당자가 진행해야 해요. 이용자 개인이 메일 앱을 업데이트하는 것만으로 장비의 취약점이 해결되지는 않아요.

이 공지만으로 자신의 메일 내용이 노출됐거나 계정이 침해됐다고 판단할 수는 없어요. 회사나 기관의 안내를 확인하고, 문의가 필요하다면 Sophos UTM의 영향받는 버전 사용 여부와 해결 버전으로의 전환 계획을 물어보면 돼요.

개발자

Sophos UTM을 거쳐 메일을 주고받는 서비스를 개발한다면, 애플리케이션 코드와 별개로 메일 처리 장비의 상태를 확인해야 해요. 서비스가 정상적으로 메일을 보내고 있다는 사실만으로 장비의 보안 문제가 해결됐다고 볼 수는 없어요. 운영 담당자와 메일 전달 경로, 이메일 검사 사용 여부, 마이그레이션에 따른 연동 확인 범위를 맞춰 두는 것이 도움이 돼요.

기술적으로는 경로 처리 문제와 처리 시점의 경쟁 상태가 결합해 높은 권한의 코드 실행으로 이어질 수 있다는 점을 이해하면 좋아요. 다만 이 설명을 근거로 자체적인 공격 재현 코드를 운영 장비에 적용할 필요는 없어요. 대응 후에는 서비스의 메일 송수신과 장비의 이메일 검사 기능이 함께 정상 동작하는지 확인하는 데 초점을 두면 돼요.

서버·장비 담당자

서버·장비 담당자는 Sophos UTM의 설치 버전이 9.724 이하인지 확인하고, 이메일 프록시와 검사 기능의 사용 상태를 함께 확인해야 해요. 공격 조건에 해당하는 기능을 쓰는 장비는 대응 우선순위를 판단할 때 그 사실을 반영해야 해요. 해당 기능을 사용하지 않는다는 이유만으로 영향받는 버전을 해결된 상태로 분류해서는 안 돼요.

Sophos UTM은 지원이 종료된 제품이며, 패치는 수동 설치가 필요한 것으로 설명돼 있어요. 자동 업데이트가 처리했을 것이라고 가정하지 말고 제조사 공지의 업데이트 절차를 따라야 해요. 권고에 구체적인 해결 버전 번호가 적혀 있지 않으므로, 실제 적용 대상과 마이그레이션 방법은 제조사 공지에서 확인해야 해요.

지금 할 일

1. 운영 중인 장비가 Sophos UTM인지 확인하고 설치 버전을 기록해요. 9.724 이하라면 영향받는 범위로 보고 대응 작업에 포함해요.
2. 이메일 프록시와 검사 기능을 사용하는지 확인해요. 이 결과를 장비 버전 정보와 함께 정리해 대응 우선순위를 판단해요.
3. 제조사 공지에서 CVE-2026-118633의 해결 대상과 업데이트 절차를 확인해요. 구체적인 해결 버전 번호를 추정해서 선택하지 말고, 해결 버전으로의 마이그레이션에 필요한 조건을 확인해요.
4. 제조사 공지의 업데이트 절차를 따라야 해요. 수동 패치 설치와 마이그레이션의 적용 관계도 공지에서 확인하고, 현재 장비에 필요한 작업을 수행해요.
5. 적용 후에는 설치된 버전과 적용 결과를 확인하고, 메일 송수신과 이메일 검사 기능의 정상 동작을 점검해요. 작업 결과와 남은 조치를 운영 기록에 남겨요.

바로 업데이트하기 어렵다면

• 제조사 공지에서 허용하는 대응인지 확인한 뒤, Sophos UTM에 대한 불필요한 외부 접근과 노출을 줄이는 방안을 검토해요. 이메일 프록시 운영에 미치는 영향도 함께 살펴야 하며, 접근 제한만으로 해결 버전으로의 마이그레이션을 대신할 수는 없어요.

업데이트 후 확인

• 작업 후 설치된 버전과 적용 상태를 제조사 공지의 해결 기준과 대조해요. 작업을 실행했다는 기록만으로 완료 처리하지 말고 실제 적용 결과를 확인해요.
• Sophos UTM을 거치는 메일 송수신이 정상적으로 이어지는지 확인해요. 이메일 검사를 사용하던 환경이라면 검사 기능의 동작도 함께 점검해요.
• 운영 대상 중 영향받는 버전으로 남아 있는 Sophos UTM이 있는지 확인해요. 전환하지 못한 장비가 있다면 남은 작업과 임시 접근 제한의 적용 상태를 기록해요.

해외 동향 (NVD·CISA KEV)

CISA의 실제 악용 취약점 목록(KEV)에는 2026.10.30 확인 기준 아직 올라 있지 않아요.

제조사 공식 공지

• https://www.sophos.com/en-us/security-advisories/sophos-sa-20261028-utm-rce

자주 묻는 질문

Q. CISA KEV에 없으면 대응을 미뤄도 되나요?

CISA KEV 에는 아직 등재되지 않았다. 대응 우선순위는 Sophos UTM의 영향받는 버전 사용 여부, 이메일 프록시와 검사 기능의 사용 상태, CVSS 4.0 기준 9.2라는 평가를 함께 보고 판단해야 해요.

Q. 이메일 검사 기능을 쓰지 않으면 업데이트가 필요 없나요?

설명된 공격 조건에는 이메일 프록시에서 검사 기능을 사용하는 환경이 포함돼요. 하지만 영향받는 버전 안내는 Sophos UTM 9.724 이하예요. 기능 사용 여부는 우선순위 판단에 반영하고, 해결 버전으로의 마이그레이션 필요성과 적용 절차는 제조사 공지에서 확인해야 해요.

Q. 어떤 버전으로 옮기면 되나요?

권고의 해결 조치는 해결 버전으로 마이그레이션하는 것이며, 구체적인 해결 버전 번호는 적혀 있지 않아요. 제조사 공지에서 대상 버전과 수동 설치 여부를 확인하고 업데이트 절차를 따라야 해요. 적용을 마친 뒤에는 버전 확인과 메일 처리 기능 점검까지 진행해요.