중국어권 위협 행위자가 Zyxel GS1900 시리즈 스위치(네트워크 장비)의 취약점(CVE-2026-7273)을 악용해 48개국 996대의 기기에서 설정 정보·네트워크 정보·암호화된 관리자 비밀번호를 빼냈습니다. 이 공격자는 올해 초 WordPress와 Gitea(코드 저장소 서비스)도 같은 방식으로 침해한 것으로 추정되며, 소스코드·자격증명 탈취와 내부망 이동까지 이어진 전력이 있습니다. Zyxel은 2026년 6월에 패치를 배포했고, CISA(미국 사이버보안 기관)는 9월 24일까지 미국 연방기관에 즉시 조치를 명령했습니다. 같은 기사에서 Veeam Agent for Windows의 권한 상승 취약점(CVE-2026-32996)도 실제 공격에 사용 중이라는 보고가 있어 함께 주의가 필요합니다. 해당 펌웨어 미패치 장비를 운영 중이라면 즉시 업데이트하고 침해 지표를 확인해야 합니다.
중국어권 위협 행위자가 CVE-2026-7273(스택 기반 버퍼 오버플로)을 악용해 Zyxel GS1900 스위치 996대를 침해하고 설정·자격증명·네트워크 정보를 탈취했다. 동일 행위자가 WordPress(CVE-2026-63030, CVE-2026-60137)와 Gitea(CVE-2026-60004)도 올해 연속 침해한 것으로 GreyNoise가 연관 분석을 통해 추정했다.
48개국 996대 기기에서 민감 정보 유출. 564대는 공장 초기 자격증명 상태였다. WordPress 침해 사례에서는 웹셸 설치·DB 탈취·관리자 계정 추가가 확인됐고, Gitea 침해에서는 소스코드 유출·지속 접근·내부망 이동이 이루어졌다.
펌웨어 2.90(XXXX.1)C0 이하 버전에 존재하는 스택 기반 버퍼 오버플로(CVE-2026-7273)로, LAN 내 비인증 공격자가 특수 제작한 HTTP 요청으로 OS 명령을 실행할 수 있다. 다수 장비가 공장 초기 비밀번호를 그대로 사용 중이었다.
Zyxel은 2026년 6월 패치 펌웨어를 배포했다. CISA는 CVE-2026-7273을 KEV 목록에 등재하고 미국 연방 민간기관에 9월 24일까지 조치 및 침해 지표 점검을 명령했다. GreyNoise는 침해 지표(IoC) 목록을 공개했다. Veeam 취약점(CVE-2026-32996)은 Veeam Backup & Replication 13.0.2.29 이상으로 업그레이드하면 함께 수정된다.
GS1900 시리즈 운영 기관은 즉시 최신 펌웨어로 업데이트하고 기본 자격증명을 변경해야 한다. GreyNoise IoC 목록으로 침해 여부를 확인하고, Veeam Agent for Windows 사용 조직도 버전 13.0.3.1220 이상으로 업데이트해야 한다.
본문
중국어권 위협 행위자가 패치되지 않은 ZyXEL GS1900 스마트 관리형 스위치의 취약점(CVE-2026-7273)을 악용해 48개국 996대의 기기에서 민감 데이터를 탈취했다고 GreyNoise가 월요일 보고했다.
피해 스위치는 이탈리아·미국·대만·한국 및 다수 EU 국가에 집중되어 있다.
CVE-2026-7273 악용은 현재 진행 중인 작전의 일부
Zyxel GS1900 시리즈는 중소기업 네트워크를 겨냥한 기가비트 이더넷 스위치 제품군이다. 소규모 사무소·학교·호텔·소매점 등에 주로 배치된다.
CVE-2026-7273은 펌웨어 버전 2.90(XXXX.1)C0 이하를 실행하는 Zyxel GS1900 스위치에 영향을 미치는 스택 기반 버퍼 오버플로(stack-based buffer overflow) 취약점이다. LAN 내 비인증 공격자가 특수 제작한 HTTP 요청을 통해 기기에서 OS 명령을 실행할 수 있다.
비공개로 제보된 이 취약점은 2026년 6월 Zyxel이 패치가 포함된 새 펌웨어 버전을 배포하면서 수정되었다.
CVE-2026-7273을 악용한 공격은 8월 17일 전후에 발생했으며, 위협 행위자는 침해한 기기의 설정·네트워크 정보·해시 처리된 루트 수준 자격증명을 탈취했다고 GreyNoise는 밝혔다. (GreyNoise에 따르면 피해 기기 중 564대는 공장 초기 자격증명 상태였다.)
"익스플로잇 코드는 상용 난독화 도구 PyArmor로 심하게 난독화된 Python 스크립트에 담겨 있었다"고 연구팀은 공유했다.
난독화를 해제한 결과, 해당 스크립트는 GS1900-24의 펌웨어 버전 2.10~2.90을 명시적으로 겨냥하고 있었으나 "취약점 범위 내 다른 펌웨어를 공격하기 위한 커맨드라인 옵션(예: libc 베이스 주소, 전역 오프셋)도 제공한다"는 사실이 확인됐다.
GreyNoise는 이번 악용 활동을, 올해 초 CVE-2026-63030과 CVE-2026-60137("WP2Shell" 익스플로잇 체인)을 통해 WordPress 설치본을 표적으로 삼고, CVE-2026-60004를 통해 인터넷에 노출된 Gitea 인스턴스를 침해한 위협 행위자와 동일하거나 연관된 것으로 연결했다.
29개국 49개 조직의 WordPress 설치본을 침해한 후, 적어도 한 사례에서 위협 행위자는 커스텀 웹셸(web shell)을 배포하고 WP 관리자 계정·자격증명을 탈취했으며, SQL 데이터베이스에서 데이터를 유출하고 새 관리자 계정을 추가했다.
Gitea 인스턴스를 성공적으로 침해한 후에는 소스코드·자격증명을 탈취하고 지속적 접근 권한을 확보했으며, 이를 내부망 이동(lateral movement)에 활용했다.
CISA는 CVE-2026-7273(Zyxel 취약점)을 알려진 악용 취약점(Known Exploited Vulnerabilities) 목록에 추가하고, 미국 민간 연방기관에 2026년 9월 24일까지 조치 완료 및 침해 지표(indicators of compromise) 확인을 명령했다.
GreyNoise는 침해 지표 목록을 공유했으나 악용에 관여된 IP 주소 하나는 공개하지 않았다. "피해자 민감성 및 작전 위험을 고려해 정확한 IP 주소 공개를 보류하고 있다. 해당 요인이 해소되는 대로 GreyNoise가 업데이트를 게시할 것"이라고 밝혔다.
또 다른 공격 대상: Veeam Agent for Windows
다른 "현재 악용 중" 소식으로, Arctic Wolf는 공격자들이 Veeam(백업) Agent for Microsoft Windows의 로컬 권한 상승(local privilege escalation) 취약점인 CVE-2026-32996을 악용하고 있다고 밝혔으나 공격의 세부 사항은 공유하지 않았다.
"Arctic Wolf는 공유 워크스테이션·서버·관리자 워크스테이션, 로컬 사용자 접근이 가능하거나 낮은 권한 계정 침해 시 엔드포인트 장악으로 이어질 수 있는 시스템을 우선적으로 패치할 것을 권고한다"고 조언했다.
"Veeam Backup & Replication을 13.0.2.29 이상으로 업그레이드하면 Veeam Agent for Windows도 수정 사항이 포함된 빌드 13.0.3.1220으로 함께 업데이트된다."
Arctic Wolf에 추가 정보를 요청했으며, 답변을 받는 대로 기사를 업데이트할 예정이다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
