Termix 경로 조작 취약점, 영향받는 버전과 업데이트 안내

무슨 일이 생겼나요

KISA 보호나라는 2026-11-03 Termix의 경로 조작 취약점을 해결하기 위한 업데이트를 권고했어요. 경로는 건물 안에서 목적지를 찾아가는 안내표와 비슷해요. 경로 조작은 이 안내표가 가리키는 위치를 의도와 다르게 바꾸는 문제로 이해하면 돼요. 이번 권고의 대상은 Termix 2.9.2 이하이며, 해결 버전은 26.10.0 이상이에요.

이번 취약점의 식별 번호는 CVE-2026-120322예요. CVE는 보안 취약점을 구분하는 공통 식별 번호예요. 이 취약점은 네트워크로 공격할 수 있는 경로 조작 문제예요. 다만 구체적으로 어떤 요청을 보내는지, 어떤 경로가 영향을 받는지, 공격 후 어떤 결과가 생기는지까지는 확인되지 않았어요.

미국 국립표준기술연구소의 취약점 데이터베이스인 NVD에는 2026-11-02 게시됐어요. 미국 사이버보안·인프라 보안국의 알려진 악용 취약점 목록인 CISA KEV 에는 아직 등재되지 않았다. Termix 사용자는 이 목록과 별개로 자신의 버전이 업데이트 대상에 포함되는지 확인하세요.

기술적으로는 (초급 개발자용)

CVE-2026-120322의 취약점 유형은 경로 조작이며, CWE-22로 분류돼요. CWE는 소프트웨어 보안 약점의 종류를 구분하는 분류 체계예요. CWE-22는 경로 순회라고도 부르며, 경로가 의도한 범위를 벗어나도록 조작되는 약점을 뜻해요. 다만 이 분류만으로 Termix에서 접근할 수 있는 구체적인 대상이나 공격 결과를 확정할 수는 없어요.

공격 조건에서 확인된 내용은 네트워크로 공격할 수 있다는 점이에요. 공격에 로그인이 필요한지, 특정 권한이나 설정이 필요한지, 어느 기능이 공격 지점인지는 확인되지 않았어요. 내부 코드의 어떤 처리 때문에 발생했는지도 구체적으로 설명돼 있지 않으므로, 특정 입력 검사나 구현 실수를 원인으로 단정하면 안 돼요.

CVSS는 취약점의 기술적 심각도를 평가하는 공통 기준이에요. 이 취약점은 CVSS 4.0 기준 8.6이며, 심각도는 HIGH로 분류돼요. 이는 업데이트 우선순위를 판단할 때 참고할 수 있는 높은 심각도 평가예요. 점수 자체가 개별 Termix 환경의 피해 발생 여부나 실제 공격 가능성을 그대로 나타내지는 않아요.

영향받는 버전은 2.9.2 이하이고, 해결 버전 또는 조치는 26.10.0 이상이에요. 두 버전의 표기 형태가 달라도 숫자를 임의로 고쳐 해석하지 말고, 제조사 공지에서 현재 설치 버전과 업데이트 대상의 대응 관계를 확인하세요.

누가 영향을 받나요

일반 사용자

Termix를 직접 설치해 사용하는 분은 현재 버전부터 확인하세요. 2.9.2 이하라면 이번 경로 조작 취약점의 영향 범위에 들어가요. 네트워크로 공격 가능한 문제이므로, 자신의 컴퓨터에서 실행한다는 이유만으로 업데이트 대상에서 제외되는 것은 아니에요.

설치와 관리를 다른 담당자가 맡고 있다면 Termix 사용 여부와 버전을 확인해 달라고 요청하세요. 이번 취약점만으로 개인정보 유출이나 파일 변경이 발생했다고 판단할 수는 없어요. 사용자가 확인할 핵심은 영향받는 버전을 사용 중인지, 26.10.0 이상으로 업데이트했는지예요.

개발자

개발 환경에서 Termix를 사용하거나 운영 환경의 Termix 구성을 관리한다면, 각 환경의 설치 버전을 확인하세요. 개발 환경이라는 이유로 2.9.2 이하가 영향 범위에서 빠지는 것은 아니에요. 네트워크로 접근할 수 있는 구성인지도 함께 살펴보면 업데이트 순서를 정하는 데 도움이 돼요.

CWE-22 분류는 경로 처리와 관련된 약점이라는 뜻이지만, Termix의 구체적인 결함 위치나 수정 코드는 확인되지 않았어요. 자체 코드 수정으로 해결됐다고 판단하기보다 제조사 공지의 업데이트 절차를 따르세요. 업데이트 후에는 개발 작업에서 사용하던 Termix 기능이 정상적으로 동작하는지 확인하세요.

서버·장비 담당자

서버 담당자는 관리 대상에서 Termix 사용 여부와 실제 실행 버전을 확인하세요. 2.9.2 이하를 사용한다면 26.10.0 이상으로 업데이트할 대상이에요. 이번 취약점은 네트워크로 공격 가능하므로, Termix에 접근할 수 있는 범위와 외부 노출 여부도 함께 점검하세요.

공격에 필요한 권한이나 영향을 받는 세부 기능이 확인되지 않은 상태에서 특정 운영 구성만 안전하다고 판단하기는 어려워요. 제조사 공지에서 업데이트 절차와 운영 시 주의사항을 확인하고 적용하세요. 설치 작업이 끝난 뒤에는 실행 중인 Termix의 버전까지 확인해야 조치 결과를 판단할 수 있어요.

지금 할 일

1. 사용 중이거나 관리 중인 환경에 Termix가 설치돼 있는지 확인하세요. 다른 담당자가 관리한다면 설치 여부와 현재 버전을 문의하세요.
2. 현재 버전이 2.9.2 이하인지 확인하세요. 해당한다면 CVE-2026-120322의 영향받는 버전으로 분류하세요.
3. 제조사 공지에서 해결 버전인 26.10.0 이상과 해당 환경에 맞는 업데이트 절차를 확인하세요. 버전 표기를 임의로 바꾸거나 비슷한 숫자의 버전으로 대체하지 마세요.
4. 제조사 공지의 업데이트 절차를 따르세요. 서버에서 운영 중이라면 업데이트가 서비스 이용에 미치는 영향도 함께 확인하세요.
5. 업데이트 후 실제 실행 버전이 26.10.0 이상인지 확인하고, 사용하던 Termix 기능의 정상 동작 여부와 조치 결과를 기록하세요.

바로 업데이트하기 어렵다면

• 바로 업데이트하기 어렵다면 제조사 공지에서 임시 조치 안내를 먼저 확인하세요. 그 안내를 전제로 Termix에 접근할 수 있는 대상을 필요한 사용자와 시스템으로 제한하는 방안을 검토하세요.
• 제조사 공지와 운영 요건을 확인한 뒤 불필요한 외부 노출을 줄이는 방안을 검토하세요. 접근 범위를 줄였더라도 26.10.0 이상으로의 업데이트는 별도로 진행하세요.

업데이트 후 확인

• 업데이트한 Termix의 실제 실행 버전이 26.10.0 이상인지 확인하세요. 설치 파일을 준비한 상태와 실행 환경에 적용된 상태를 구분해 확인하세요.
• 관리 대상에 Termix 2.9.2 이하가 남아 있는지 다시 확인하세요. 여러 환경에서 사용한다면 환경별로 적용 결과를 확인하세요.
• 업데이트 후 기존에 사용하던 Termix 기능이 정상적으로 동작하는지 확인하세요. 문제가 생기면 제조사 공지의 업데이트 관련 안내를 다시 확인하세요.
• 접근 제한이나 외부 노출 축소를 적용했다면 의도한 접근 범위가 유지되는지 점검하고, 업데이트 결과와 함께 기록하세요.

해외 동향 (NVD·CISA KEV)

CISA의 실제 악용 취약점 목록(KEV)에는 2026.11.03 확인 기준 아직 올라 있지 않아요.

제조사 공식 공지

• https://github.com/0xGenesi/CVE/blob/main/Termix_FileManager_transferToHost_Arbitrary_File_Write.md
• https://github.com/Termix-SSH/Termix/releases

자주 묻는 질문

Q. 어떤 버전을 사용하면 업데이트해야 하나요?

Termix 2.9.2 이하가 영향받는 버전이에요. 해결 버전은 26.10.0 이상이므로, 현재 버전을 확인한 뒤 제조사 공지의 업데이트 절차를 따르세요.

Q. CVSS 8.6이면 이미 공격을 받았다는 뜻인가요?

아니에요. CVSS 4.0 기준 8.6과 HIGH는 취약점의 기술적 심각도 평가예요. 개별 Termix 환경에서 공격이나 피해가 발생했다는 뜻은 아니에요. CISA KEV 에는 아직 등재되지 않았다.

Q. 외부 접근을 제한하면 업데이트를 생략해도 되나요?

접근 제한만으로 이번 취약점이 해결됐다고 판단할 수는 없어요. 제조사 공지를 확인한 뒤 접근 범위를 줄이는 임시 조치를 검토할 수 있지만, 해결 버전인 26.10.0 이상으로 업데이트하는 조치는 별도로 필요해요.