Check Point, 표적 공격에 악용된 관리 서버 제로데이 취약점 경고

한 줄 요약

보안 전문 기업 Check Point의 방화벽 정책을 제어하는 '보안 관리 서버(Security Management Server)'에서 로그인 없이도 악성 스크립트를 실행할 수 있는 심각한 취약점(CVE-2026-93616)이 발견됐으며, 이미 7월 23일에 실제 공격에 활용된 사실이 확인됐습니다. CVSS(취약점 심각도 점수) 9.8점에 해당하는 이 취약점은 9월 22일 패치가 배포됐으나, 패치 설치 전 서버가 이미 침해됐는지는 별도로 확인해야 합니다. 이와 별개로, 9월 9일 수정된 VPN 연결 취약점(CVE-2026-85102)을 노린 공격 시도가 9월 12일부터 소규모 사업자용 방화벽 'Spark' 이용 고객을 대상으로 이어지고 있습니다. 관리자는 즉시 현재 설치된 버전과 패치 레벨을 확인하고, 공식 지원 문서(sk1000171, sk1000117)의 침해 지표를 점검해야 합니다.

사건

Check Point Security Management Server에서 CVSS 9.8의 경로 탐색(Path Traversal) 취약점 CVE-2026-93616이 발견됐으며, 7월 23일 실제 표적 공격에 악용됐다. 또한 VPN 취약점 CVE-2026-85102를 이용한 공격 시도가 9월 12일부터 지속되고 있다.

영향

인증 없이 관리 서버에 스크립트를 업로드·실행하거나(CVE-2026-93616), VPN 게이트웨이에서 원격 코드를 실행할 수 있다(CVE-2026-85102). 방화벽 정책 전체를 관장하는 관리 서버가 침해될 경우 기업 네트워크 보안 체계 전반이 무력화될 수 있다.

원인

CVE-2026-93616은 관리 서버 웹 서비스가 요청 경로를 적절히 제한하지 않는 경로 탐색 버그이며, CVE-2026-85102는 VPN 연결 설정 시 인증서 검증 로직의 결함이다.

대응

CVE-2026-93616은 9월 22일 배포된 핫픽스(sk1000171 참조)로 수정됐다. CVE-2026-85102 수정 패치는 9월 9일 이미 배포됐으며(sk1000117 참조), 즉시 패치가 불가한 경우 NCSC의 임시 완화 조치를 적용할 수 있다.

실무 포인트

패치 설치 후에도 CVE-2026-93616 침해 여부는 자동으로 알 수 없으므로, sk1000171에 수록된 침해 지표(IoC)와 탐지 가이드를 반드시 별도로 확인해야 한다. VPN 로그에서 비정상적인 인증서 기반 접속 및 접속 후 내부 포트 스캔 여부도 점검이 필요하다.

본문

Swati Khandelwal · 2026년 9월 22일 · 네트워크 보안 / 취약점

Check Point에 따르면, 공격자들은 7월 23일 소수의 표적 공격에서 Check Point Security Management Server에 존재하던 미공개 취약점을 악용했다.

해당 취약점 CVE-2026-93616은 서버의 웹 서비스에 접근 가능한 공격자가 로그인 없이 서버에서 스크립트를 실행할 수 있게 한다. Check Point는 9월 22일, 자사가 관리하는 Check Point 게이트웨이의 방화벽 정책을 제어하는 해당 서버에 대한 수정 패치를 배포했다.

별도로, Check Point는 공격자들이 9월 9일 수정된 VPN 취약점을 9월 12일부터 지속적으로 악용하려 시도하고 있다고 밝혔다. CVE-2026-85102로 추적되는 이 취약점에 대한 공격 시도는 Check Point의 중소기업용 방화벽 제품군인 Spark 고객을 표적으로 삼고 있다. 패치가 배포될 당시 Check Point는 해당 취약점이 실제 악용되고 있다는 증거를 확보하지 못했었다.

CVE-2026-93616은 관리 서버 웹 서비스의 경로 탐색(Path Traversal) 버그다. 웹 서비스가 요청이 접근할 수 있는 파일과 폴더를 적절히 제한하지 못한다.

공격자는 이를 이용해 서버에 스크립트를 업로드한 뒤 실행할 수 있다. Check Point는 해당 취약점의 CVE 기록에서 CVSS 점수를 10점 만점에 9.8점으로 평가했다.

Check Point의 보안 권고문은 7월 공격의 표적이나 공격자를 명시하지 않았으며, 취약점 악용 이후 공격자가 무엇을 했는지도 밝히지 않았다.

관리 서버 버전 및 수정 패치

Check Point는 각 릴리스의 Jumbo Hotfix 업데이트를 "Take" 번호로 관리한다. 긴급 패치를 배포하는 LivePatch 채널은 별도의 Take 번호 체계를 사용한다.

CVE 기록에 따른 영향받는 버전은 다음과 같다:

Jumbo Hotfix 미설치 상태의 R82.20
Jumbo Hotfix Take 44 이하가 설치된 R82.10
Jumbo Hotfix Take 126 이하가 설치된 R82
Jumbo Hotfix Take 166 이하가 설치된 R81.20
Jumbo Hotfix Take 190 이하가 설치된 R81.10 (지원 종료)
R81, R80.40, R80.30, R80.20, R80.10, R80 (모두 지원 종료)

Check Point의 보안 권고문은 R82.20을 "Jumbo Hotfix 미설치" 조건 없이 영향받는 버전으로 명시하고 있다.

9월 16일, Check Point는 LivePatch를 통해 관리 서버의 별도 취약점 CVE-2026-91843을 수정했다. 프랑스 CERT Santé의 Check Point 보안 권고문 요약에 따르면, 해당 업데이트는 LivePatch Take 28이며 R82.20에서는 Take 29다. Check Point는 해당 LivePatch Take가 CVE-2026-93616을 수정하지는 않는다고 밝혔다.

9월 9일 Check Point가 수정한 VPN 인증서 취약점 CVE-2026-85103은 게이트웨이와 관리 서버 모두에 영향을 미쳤다. R82.10, R82, R81.20에서 새 취약점(CVE-2026-93616)의 영향 범위는 해당 9월 취약점보다 Take 번호가 하나 더 높은 버전까지 포함한다. 따라서 9월 취약점의 영향 범위를 벗어날 만큼만 업데이트한 서버도 CVE-2026-93616의 영향을 받을 수 있다.

수정 빌드 정보와 완화 조치, 침해 탐지, 침해 지표(IoC)에 관한 Check Point의 안내는 지원 문서 sk1000171에 수록되어 있다. 관리 서버 관리자는 다음 단계를 따라야 한다:

서버의 릴리스 및 Jumbo Hotfix Take 번호를 위 목록과 대조해 확인한다.
sk1000171에 명시된 수정 패치를 설치한다.
sk1000171의 침해 탐지 가이드와 IoC를 사용해 공격 흔적을 점검한다. 패치를 설치하더라도 패치 이전에 서버가 공격받았는지 여부는 자동으로 알 수 없다.

Check Point의 보안 권고문은 Security Management만 영향받는 제품으로 명시하며, 공격자에게 필요한 네트워크 접근 수준은 밝히지 않았다. The Hacker News는 다른 영향받는 제품, 수정 빌드, 7월 공격에 관해 Check Point에 문의한 상태다.

VPN 취약점을 통한 Spark 방화벽 표적 공격

CVE-2026-85102는 VPN 연결 설정 중 Check Point 게이트웨이가 인증서를 검증하는 방식의 결함이다. 로그인하지 않은 공격자가 게이트웨이에서 코드를 실행할 수 있게 할 수 있다. 수정 패치는 9월 9일부터 배포되고 있으며, 지원 문서 sk1000117에서 확인할 수 있다.

영향받는 제품은 중앙 또는 로컬 관리 방식의 Security Gateway 및 Spark 방화벽으로, R81 및 R81.10(모두 지원 종료), R81.10.x, R81.20, R82, R82.00.x, R82.10 버전이 해당된다. 네덜란드 국가사이버보안센터(NCSC)에 따르면 이 취약점은 해당 제품이 Site-to-Site VPN 또는 원격 접속 VPN을 사용하는 경우에 적용된다.

Check Point에 따르면 공격 시도는 VPN 서비스 및 프록시 등 익명화 인프라를 경유했으며, 다음과 같은 주체(Subject)의 인증서를 사용했다:

인증서 주체: CN=vpn,OU=users,O=global
인증서 주체: CN=vpn-user,OU=users,O=global
인증서 주체: CN=vpnuser,OU=users,O=global

위 목록은 완전하지 않으며 다른 주체가 사용될 수도 있다. 관리자는 위 주체의 인증서에 국한하지 않고 비정상적인 인증서 기반 Mobile Access 로그인 전체를 로그에서 확인해야 한다. 또한 의심스러운 Mobile Access 사용자가 로그인 후 수행하는 행위를 점검해야 하며, 이는 흔히 내부 포트 및 서비스 스캔으로 이어진다.

Check Point는 9월 9일 수정 패치를 설치한 고객은 보호된다고 밝혔으나, 보안 권고문은 공격 시도 중 성공한 사례가 있는지는 언급하지 않았다.

아직 패치를 적용하기 어려운 게이트웨이의 경우, NCSC는 Check Point의 Site-to-Site VPN 임시 완화 방안을 제시한다: 암묵적(Implied) VPN 규칙을 비활성화하고, UDP 포트 500 및 4500을 특정 피어(peer) IP 주소에서만 허용한다. 이 완화 방안은 로컬 관리 방식의 Spark 방화벽에는 적용되지 않는다. Check Point의 완화 단계는 sk1000117에서 확인할 수 있다.