Check Point, Security Gateway VPN RCE 취약점 해커 악용 경고

한 줄 요약

Check Point의 Security Gateway 제품에서 두 개의 심각한 취약점이 실제 공격에 악용되고 있습니다. CVE-2026-85102는 로그인 없이도 원격에서 시스템을 마음대로 실행할 수 있는 RCE(원격 코드 실행) 취약점이며, CVE-2026-93616은 관리 웹 서비스의 경로 탐색 취약점으로 7월 23일부터 이미 제로데이(패치 없이 알려진 취약점)로 악용되어 왔습니다. 공격자들은 VPN과 프록시를 이용해 출처를 숨기며 9월 12일부터 대규모 공격을 시도했습니다. 미국 CISA는 두 취약점을 KEV(실제 악용 확인 목록)에 등재하고 9월 25일까지 패치 적용을 요구했습니다. Check Point는 LivePatch Take 26 또는 각 버전별 Jumbo Hotfix 설치를 권고하며, 즉시 업데이트가 불가능한 경우 VPN 규칙을 명시적으로 제한하는 임시 조치를 안내했습니다.

사건

Check Point Security Gateway의 VPN 인증서 처리 기능에서 사전 인증 RCE 취약점(CVE-2026-85102)이 확인됐으며, 관리 웹 서비스의 경로 탐색 취약점(CVE-2026-93616)도 7월 23일부터 제로데이로 악용 중이다.

영향

인증 없이 원격 코드 실행 및 스크립트 실행·Java 클래스 로딩이 가능하며, 9월 12일 이후 Spark 고객을 겨냥한 대규모 공격이 관측되었다.

원인

VPN 인증서 처리 로직과 Management 웹 서비스의 경로 탐색 결함이 원인이며, 공격자는 익명화 인프라(VPN, 프록시)를 통해 출처를 은닉했다.

대응

Check Point가 LivePatch Take 26 및 버전별 Jumbo Hotfix를 배포했고, CISA는 KEV에 등재하여 연방 기관에 9월 25일까지 패치 또는 완화 조치 적용을 요구했다.

실무 포인트

R81.20·R82·R82.10·R81.10 게이트웨이 운영자는 즉시 LivePatch Take 26 또는 해당 Jumbo Hotfix를 적용해야 하며, 업데이트가 불가능한 경우 UDP/500·UDP/4500 등 VPN 관련 규칙을 명시적으로 제한해야 한다.

본문

사이버보안 기업 Check Point는 자사 Security Gateway 제품의 VPN 인증서 처리 기능에서 발견된 사전 인증 원격 코드 실행(RCE) 취약점 CVE-2026-85102가 실제로 악용되고 있음을 공식 확인했다.

동일한 권고문은 Management 웹 서비스에 영향을 미치는 사전 인증 경로 탐색(path traversal) 취약점 CVE-2026-93616도 위협 행위자에 의해 악용되고 있다고 경고한다. 이 취약점은 스크립트 실행 및 Java 클래스 로딩을 허용할 수 있다.

Check Point에 따르면 CVE-2026-93616은 7월 23일부터 제로데이로 악용되어 왔다.

9월 10일, 네덜란드 국가사이버보안센터(NCSC)는 Security Gateway 문제에 대해 경보를 발령하고 임박한 악용이 예상되므로 사용자들이 제공된 보안 업데이트를 즉시 적용할 것을 촉구했다.

Check Point는 9월 12일부터 악의적인 활동이 시작되었으며, 공격자들이 VPN과 프록시를 이용해 위치를 숨겼다고 확인했다.

"2026년 9월 12일부터 Spark 고객을 대상으로 한 일련의 악용 시도가 관측되었습니다"라고 Check Point의 경보는 전한다.

"시도는 VPN 서비스 및 프록시를 포함한 익명화 인프라에서 발생했습니다"라고 회사는 밝히며, 다음 주체(subject)를 가진 인증서가 사용되었다고 덧붙였다:

CN=vpn,OU=users,O=global
CN=vpn-user,OU=users,O=global
CN=vpnuser,OU=users,O=global

단, 이 사이버보안 기업은 위의 세 가지 주체가 현재까지의 관측에 불과하며 추가적인 주체가 사용될 수 있다고 밝혔다.

CISA는 두 취약점을 KEV(알려진 악용 취약점) 목록에 추가하고, 연방 기관에 2026년 9월 25일까지 제공된 수정 사항 및/또는 완화 조치를 적용할 것을 촉구했다.

위험 완화

CVE-2026-85102에 대한 Check Point 권고문은 관리자에게 지원되는 R81.20, R82, 또는 R82.10 게이트웨이에 Check Point LivePatch Take 26을 설치하거나, 다음 중 하나의 고정 Jumbo Hotfix를 설치할 것을 권장한다: R81.20 Take 166, R82 Take 126, R82.10 Take 44, R81.10 Take 190 이상.

또한 고객은 Spark 방화벽을 R82.00.10 Build 2325 또는 R81.10.17 Build 4968 이상으로 업데이트해야 한다.

시스템 관리자는 Security Gateway의 expert 모드에서 cpinfo -y CPupdates 명령을 실행하여 LivePatch가 활성화되어 있는지 확인할 것을 권고한다.

권고문은 이전 오프라인 LivePatch 패키지를 설치한 일부 고객의 경우 완전한 보호를 위해 Take 26이 필요하다고 특별히 경고한다.

업데이트가 불가능한 경우, VPN implied rules를 비활성화하고 특정 피어 IP 주소에 대해 UDP/500 및 UDP/4500의 Site-to-Site VPN을 제한하는 명시적 규칙을 생성할 것을 권장한다.

원격 접속 VPN의 경우 UDP/500, UDP/4500, TCP/443, 해당되는 경우 TCP/80에서 필요한 서비스만 허용하고, 가능한 경우 소스 클라이언트 IP 범위를 제한한다.

Check Point는 이러한 완화 조치가 로컬 관리 Spark 방화벽에는 적용되지 않는다고 밝혔다.

Management 웹 서비스 CVE-2026-93616에 대한 완화 및 탐지 방법은 Check Point의 해당 지원 문서를 참조하면 된다.