Ivanti Connect Secure 인증 우회·권한 상승 취약점 업데이트

무슨 일이 생겼나요

KISA 보호나라는 2026-11-02 Ivanti Connect Secure의 보안 업데이트를 권고했어요. 인증 우회는 출입증을 확인하는 문에서 누군가 다른 사람인 척하며 확인 절차를 넘어가는 상황에 비유할 수 있어요. 이번 권고에는 인증 우회와 권한 상승 문제가 포함돼 있어요.

CVE-2026-104935는 위장, 즉 스푸핑을 통한 인증 우회 취약점이에요. 인증은 접속한 사람이 누구인지 확인하는 절차인데, 이 취약점은 인증 없이 네트워크를 통해 공격할 수 있어요. CVE-2026-111357은 허용된 범위보다 높은 권한을 얻는 권한 상승 취약점이에요. 다만 어떤 권한이 필요하고 어디까지 권한이 높아지는지는 확인되지 않았어요.

두 취약점은 실제 공격에 쓰이고 있음(CISA KEV 등재)이 확인된 상태예요. CISA KEV는 실제 악용이 확인된 취약점을 모아 관리하는 목록이에요. CVE-2026-104935의 등재일은 2026-10-13이고, CVE-2026-111357의 등재일은 2026-10-30이에요. 이는 공격 가능성만 논의되는 상황을 넘어선다는 뜻이지만, 모든 Connect Secure 장비가 침해됐다는 뜻은 아니에요.

기술적으로는 (초급 개발자용)

CVE-2026-104935에는 CWE-290이 연결돼 있어요. CWE는 소프트웨어 보안 약점의 종류를 분류하는 체계이며, CWE-290은 위장을 통한 인증 우회를 뜻해요. 이 취약점은 네트워크에서 인증 없이 공격할 수 있다는 조건이 확인돼 있어요. 다만 위장에 쓰이는 구체적인 정보나 인증 처리의 어느 부분에 문제가 있는지까지는 설명할 수 없어요.

CVE-2026-111357은 권한 상승 문제이며, CWE-829로 분류돼 있어요. CWE-829는 신뢰할 수 없는 통제 영역의 기능을 포함하는 약점을 뜻해요. 이 분류명만으로 Connect Secure가 어떤 기능을 어떻게 포함하다 문제가 생겼는지 단정할 수는 없어요. 공격에 필요한 사전 권한과 구체적인 실행 경로도 확인되지 않았어요.

CVSS는 취약점의 기술적 심각도를 나타내는 평가 체계예요. CVSS 버전 3.1 기준으로 CVE-2026-104935는 8.6, CVE-2026-111357은 7.0이며, 모두 HIGH 등급이에요. 점수는 피해 발생 확률이나 개별 장비의 침해 여부를 뜻하지 않아요. 이번 조치에서는 점수와 함께 두 취약점 모두 CISA KEV에 등재됐다는 사실을 고려해야 해요.

영향과 해결 버전이 명시된 대상은 CVE-2026-111357이에요. Connect Secure의 해당 버전 계열에서 22.8R2.6 미만은 22.8R2.6 이상으로, 25.1.1.3 미만은 25.1.1.3 이상으로 업데이트하도록 안내돼 있어요. 이 버전 기준을 CVE-2026-104935에도 그대로 적용할 근거는 없으므로, 해당 취약점의 영향 범위와 해결 여부는 제조사 공지에서 별도로 확인해야 해요.

누가 영향을 받나요

일반 사용자

Connect Secure를 사용하는 조직의 이용자라면, 이번 문제는 자신이 이용하는 제품의 신원 확인이나 권한 통제와 관련돼 있어요. 다만 취약점 공개와 실제 악용 사실만으로 본인의 계정이나 정보가 피해를 입었다고 판단할 수는 없어요.

일반 이용자가 제품 업데이트를 직접 관리하지 않는 환경이라면, 조직 담당자의 업데이트 및 이용 안내를 확인해 주세요. 개인 비밀번호를 바꾸는 것만으로 Connect Secure의 취약점이 해결됐다고 볼 수는 없어요.

개발자

Connect Secure와 연결되는 서비스를 개발하거나 운영한다면, CVE-2026-104935의 인증 우회와 CVE-2026-111357의 권한 상승을 구분해서 이해해야 해요. 전자는 신원 확인 절차를 넘어가는 문제이고, 후자는 허용 범위보다 높은 권한을 얻는 문제예요. 두 취약점이 연속해서 사용된다는 공격 흐름은 확인되지 않았으므로 그렇게 전제해서는 안 돼요.

서비스 개발자는 Connect Secure 운영 담당자와 사용 버전 및 업데이트 적용 상태를 확인해 주세요. 연동 서비스의 코드를 수정했다는 이유만으로 제품의 보안 업데이트가 적용된 것으로 처리하면 안 돼요. 특히 CVE-2026-104935의 해결 여부는 CVE-2026-111357의 버전 기준과 별도로 확인할 필요가 있어요.

서버·장비 담당자

서버·장비 담당자는 Connect Secure의 현재 버전과 사용 중인 버전 계열을 먼저 확인해야 해요. CVE-2026-111357에 대해서는 각 계열의 해결 기준이 22.8R2.6 이상과 25.1.1.3 이상으로 제시돼 있어요. 서로 다른 계열의 숫자를 단순 비교해 업데이트 완료 여부를 판단하지 말고, 제조사 공지에서 해당 계열의 적용 대상을 확인해 주세요.

CISA KEV에 기재된 조치기한은 CVE-2026-104935가 2026-10-16, CVE-2026-111357이 2026-11-02예요. 이 날짜를 모든 조직에 동일하게 적용되는 의무 기한으로 해석해서는 안 되지만, 실제 악용 사실과 함께 조치 우선순위를 판단하는 근거로 삼을 수 있어요. 랜섬웨어 사용 여부는 두 취약점 모두 Unknown이므로, 사용됐다고도 사용되지 않았다고도 단정할 수 없어요.

지금 할 일

1. 관리하는 제품이 Ivanti Connect Secure인지 확인하고, 현재 버전과 버전 계열을 기록해 주세요.
2. 제조사 공지에서 CVE-2026-104935와 CVE-2026-111357의 영향 범위 및 해결 조치를 각각 확인해 주세요. 두 취약점 모두 실제 공격에 쓰이고 있다는 점을 업데이트 우선순위에 반영해 주세요.
3. CVE-2026-111357에 대해서는 해당 계열에서 22.8R2.6 미만 또는 25.1.1.3 미만에 해당하는지 확인해 주세요. CVE-2026-104935에는 이 기준을 임의로 적용하지 마세요.
4. 해당 계열의 해결 버전인 22.8R2.6 이상 또는 25.1.1.3 이상으로 업데이트할 때는 제조사 공지의 업데이트 절차를 따르세요. CVE-2026-104935의 해결 조치도 함께 확인해 적용해 주세요.
5. 업데이트 후 실제 적용 버전과 두 취약점에 대한 조치 완료 여부를 각각 확인해 주세요.
6. 이용 중인 Connect Secure 기능과 연결 서비스가 정상적으로 동작하는지 확인하고, 적용한 버전과 남은 조치를 운영 기록에 남겨 주세요.

바로 업데이트하기 어렵다면

• 바로 업데이트하기 어렵다면 제조사 공지에서 임시 완화 조치의 지원 여부와 적용 조건을 먼저 확인해 주세요. 그 안내를 전제로 Connect Secure에 접근할 수 있는 범위를 필요한 대상으로 제한하는 방안을 검토할 수 있어요.
• 제조사 공지에서 확인한 조건에 맞춰 불필요한 외부 노출을 줄이는 방안을 검토해 주세요. 특히 CVE-2026-104935는 네트워크를 통해 인증 없이 공격할 수 있어요. 다만 접근 제한이나 노출 축소만으로 취약점이 해결됐다고 판단해서는 안 돼요.

업데이트 후 확인

• 실제 적용된 Connect Secure 버전을 확인하고, CVE-2026-111357에 대해 해당 계열의 22.8R2.6 이상 또는 25.1.1.3 이상 기준을 충족하는지 확인해 주세요.
• CVE-2026-104935는 제조사 공지의 별도 영향 범위와 해결 조치를 기준으로 완료 여부를 확인해 주세요. CVE-2026-111357의 업데이트 완료만으로 함께 해결됐다고 판단하지 마세요.
• 업데이트 후 이용자의 정상 접속과 필요한 기능이 동작하는지 확인해 주세요. 정상 동작 확인과 취약점 해결 확인은 각각 수행해야 해요.
• 업데이트 적용 사실만으로 과거 침해가 없었다고 결론 내리지 마세요. 실제 악용된 취약점이므로 제조사 공지에 별도 점검 안내가 있는지도 확인해 주세요.

해외 동향 (NVD·CISA KEV)

실제 공격에 쓰이고 있음(CISA KEV 등재) — 미국 사이버보안·기반시설보안청(CISA)이 실제 악용을 확인한 취약점 목록에 CVE-2026-104935(2026.10.13 등재), CVE-2026-111357(2026.10.30 등재)이 올라 있어요.

제조사 공식 공지

• https://hub.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-CVE-2026-104935

자주 묻는 질문

Q. CISA KEV에 등재됐으면 우리 장비도 공격받았다는 뜻인가요?

아니에요. CVE-2026-104935는 2026-10-13, CVE-2026-111357은 2026-10-30에 CISA KEV에 등재됐고, 실제 공격에 쓰이고 있다는 뜻이에요. 개별 장비의 침해 여부는 별도로 확인해야 해요.

Q. 22.8R2.6 이상이나 25.1.1.3 이상이면 두 취약점이 모두 해결되나요?

그렇게 단정할 수 없어요. 이 해결 버전 기준은 CVE-2026-111357에 연결돼 있어요. 사용 중인 버전 계열에 맞춰 적용하고, CVE-2026-104935의 영향 범위와 해결 조치는 제조사 공지에서 별도로 확인해 주세요.

Q. 랜섬웨어 공격에 사용된 취약점인가요?

CISA KEV의 랜섬웨어 사용 항목은 두 취약점 모두 Unknown이에요. 랜섬웨어 사용 여부를 확정할 수 없다는 뜻이며, 실제 공격에 쓰였다는 사실과는 구분해야 해요.