미국 사이버보안 기관 CISA가 실제로 공격에 악용되고 있는 보안 취약점 7개를 '이미 악용 확인된 취약점 목록(KEV)'에 새로 추가했습니다. 피해를 입은 제품은 SonicWall 원격접속 장비, JFrog Artifactory(소프트웨어 패키지 관리 도구), Sangoma Switchvox(전화 시스템), Kestra(업무 자동화 도구), LiteLLM(AI 게이트웨이) 등 기업 환경에서 널리 쓰이는 것들입니다. 공격자들은 이 취약점들을 악용해 서버에 몰래 침투한 뒤 암호화폐 채굴 프로그램을 심거나, 리버스 셸(원격에서 피해 시스템을 조종할 수 있는 통로)을 열고, 관리자 권한 및 API 키를 훔치고 있습니다. 특히 LiteLLM 등 AI 인프라가 새로운 주요 공격 표적이 되고 있으며, Qilin 랜섬웨어 그룹도 연루된 것으로 확인됐습니다. 미국 연방기관은 대부분의 취약점을 9월 5일까지, 나머지 두 건은 9월 16일까지 패치해야 합니다.
CISA가 SonicWall SMA 1000, JFrog Artifactory, Sangoma Switchvox, Kludex Starlette, Kestra OSS, BerriAI LiteLLM에서 발견된 7개의 취약점을 KEV 카탈로그에 추가했다. 공격자들은 이 취약점들을 연계 악용해 리버스 셸 개설, 암호화폐 채굴기 배포, 관리자 권한 탈취, API 키 수집 등을 수행하고 있다.
원격 미인증 공격자가 관리자 권한 획득(JFrog Artifactory, SonicWall), 임의 OS 명령 실행(SonicWall, Kestra), SQL 인젝션을 통한 DB 조작(Sangoma Switchvox), 인증 우회 후 RCE(LiteLLM)가 가능하다. Qilin 랜섬웨어 그룹이 LiteLLM 취약점 체인을 실제 악용 중이며, AI 인프라 전반이 공격 표적이 되고 있다.
기본 설정의 인증 미흡(JFrog Artifactory, LiteLLM), OS 명령 인젝션(SonicWall, Kestra), SSRF(서버 측 위조 요청), SQL 인젝션, HTTP 요청 스머글링(경로 조작을 통한 인증 우회) 등 복수의 취약점 유형이 결합되었다.
CISA KEV에 등재된 취약점 전체에 대해 즉시 패치 적용이 권고된다. 미국 연방기관은 CVE-2026-48710·CVE-2026-59822를 제외한 5개를 9월 5일까지, 나머지 둘은 9월 16일까지 패치해야 한다. AI 워크로드는 독립 애플리케이션이 아닌 제어 플레인 역할로 간주하고 별도로 모니터링해야 한다.
LiteLLM·Kestra·RAGFlow 등 AI 오케스트레이션 도구를 사내에서 운영 중이라면 즉시 버전 확인 및 패치가 필요하다. SSH authorized_keys 변조, 비정상적 Docker 소켓 접근, XMRig 등 암호화폐 채굴 프로세스, LiteLLM DB 테이블 무단 조회를 탐지 규칙으로 추가하는 것이 실무적으로 중요하다.
본문
미국 사이버보안 및 인프라 보안국(CISA)은 수요일, 공격자들의 실제 악용이 확인된 보안 취약점 7개를 KEV(Known Exploited Vulnerabilities, 알려진 악용 취약점) 카탈로그에 추가했다.
추가된 취약점 목록은 다음과 같다.
- CVE-2026-83548 (CVSS 점수: 10.0) - SonicWall SMA 1000 어플라이언스의 SSRF(서버 측 요청 위조) 취약점으로, 원격의 미인증 공격자가 민감한 기능에 무단 접근하고 무단 작업을 수행할 수 있다.
- CVE-2026-83549 (CVSS 점수: 7.8) - SonicWall SMA 1000 어플라이언스의 인증 후 OS 명령 인젝션(운영체제 명령어 삽입) 취약점으로, 관리자 권한을 가진 원격 인증 공격자가 임의의 OS 명령을 실행하여 RCE(원격 코드 실행)를 달성할 수 있다.
- CVE-2026-9586 (CVSS 점수: 9.3) - Sangoma Switchvox의 SQL 인젝션 취약점으로, 미인증 원격 공격자가 조작된 요청 하나만으로 백엔드 PostgreSQL 데이터베이스에 임의의 SQL 구문을 실행할 수 있으며, DB 조작 및 원격 코드 실행도 가능하다.
- CVE-2026-82329 (CVSS 점수: 9.8) - JFrog Artifactory의 인증 미흡 취약점으로, 기본 설정 상태에서 네트워크 접근이 가능한 미인증 공격자가 관리자 권한을 획득할 수 있다.
- CVE-2026-48710 (CVSS 점수: 6.5) - Kludex Starlette의 HTTP 요청/응답 스머글링(밀수) 취약점으로, 공격자가 호스트 부분에 경로를 삽입하여 실제 경로 앞에 덧붙임으로써, 재구성된 URL 경로에 의존하는 인증을 우회하는 등의 문제를 유발할 수 있다.
- CVE-2026-49869 (CVSS 점수: 10.0) - Kestra OSS의 OS 명령 인젝션 취약점으로, 미인증 원격 공격자가 자격증명 없이 임의의 워크플로우를 생성하고 실행할 수 있다.
- CVE-2026-59822 (CVSS 점수: 8.8) - BerriAI LiteLLM의 MCP(Model Context Protocol) Streamable HTTP 엔드포인트의 인증 미흡 취약점으로, 미인증 공격자가 임의의 Bearer 토큰을 사용하여 인증된 MCP 세션을 수립할 수 있다.
이번 발표는 SonicWall이 CVE-2026-83548 및 CVE-2026-83549에 대한 "실제 악용 사례를 조사했다"고 공개한 이후 이루어졌다. Horizon3.ai와 watchTowr의 보고서에 따르면, 신원 불상의 위협 행위자들이 CVE-2026-9586과 CVE-2026-82329를 무기화하여 리버스 셸을 배포하고, 사용자·그룹·자격증명 세트·페더레이션 접근 토폴로지 열거를 위한 관리자 토큰을 발급하고 있는 것이 포착됐다.
CVE-2026-48710의 경우, Horizon3.ai가 2026년 6월 발표한 보고서에서 이 취약점이 BerriAI LiteLLM의 또 다른 결함인 CVE-2026-42271(CVSS 점수: 8.7)과 연계되어 인증을 우회하고, 취약한 LiteLLM 배포 환경에서 원격 코드 실행을 달성할 수 있다고 밝혔다.
CVE-2026-42271은 같은 시기 CISA KEV 카탈로그에 등재됐다는 점도 주목할 만하다. 구글 산하 Wiz에 따르면, Qilin(일명 Agenda) 랜섬웨어와 연관된 위협 행위자들이 이 취약점 체인을 실제로 악용하고 있는 것으로 확인됐다. Wiz는 자사 허니팟에서 CVE-2026-59822를 이용해 모델 열거 엔드포인트를 탐색하려는 악용 시도도 관찰했다고 밝혔다.
CVE-2026-49869가 KEV 카탈로그에 추가된 배경에는 마이크로소프트의 지난주 보고서가 있다. 이 보고서에 따르면, 위협 행위자가 2026년 6월 말 해당 취약점을 악용해 리버스 셸을 구축하고, Docker 컨테이너 환경 탐색, 방어 우회, 암호화폐 채굴기 배포, 데이터 수집까지 수행한 것으로 추정된다.
Kestra 침해 공격 체인
마이크로소프트는 "Kestra 침해를 통해 네 가지 피해 경로가 드러났다: 워크플로우 엔진을 통한 셸 실행, Docker 소켓 접근을 통한 컨테이너 환경 노출, 채굴기 배포를 통한 호스트 자원 탈취, 워크플로우 태스크 실행을 통한 후속 데이터 수집"이라고 밝혔다.
"이후의 curl-pipe-shell(다운로드-즉시실행) 이벤트는 수집된 출력을 인코딩하여 Kestra 자체의 키-값(key-value) 인터페이스를 통해 저장함으로써, 별도의 파일 아티팩트에 대한 의존도를 낮췄다."
마이크로소프트는 별도로, 악의적 행위자들이 CVE-2026-42271과 CVE-2026-48710을 이용해 LiteLLM 게이트웨이에 침입한 뒤, ELF(리눅스 실행 파일) 바이너리 형태의 XMRig 채굴기를 배포하고 있다고 밝혔다. 이 과정에서 호스트 정보를 수집하고 경쟁 채굴 프로세스를 종료하는 작업을 먼저 수행한다.
또한 공격자들은 사전에 수집한 데이터베이스 정보를 활용해 LiteLLM 연동 PostgreSQL 데이터 계층에 접근하고, LiteLLM_ProxyModelTable 및 LiteLLM_VerificationToken 등 LiteLLM 테이블을 표적으로 삼아 모델 구성, 업스트림 공급자 키 자료, 공급자 엔드포인트, 프록시 발급 가상 키 관련 레코드를 탈취하는 것으로 확인됐다.
더불어 이 공격 체인은 ~/.ssh/authorized_keys 파일 수정을 통한 지속성 유지, C2(명령 및 제어) 서버 연결, 방어 우회 메커니즘 적용이 특징으로 나타났다.
마이크로소프트와 Wiz는, 이번 공격들이 LiteLLM·Flowise·LangChain·Langflow·ChromaDB·Ollama·Marimo·MCP 서버 등 AI(인공지능) 인프라가 API 키 탈취, 백엔드 시스템 접근 권한 획득, 지속적 접근 유지, 블라인드 프롬프트 인젝션 및 AI 네이티브 사후 공격(post-exploitation), 불법 암호화폐 채굴을 통한 수익화의 주요 표적이 되고 있음을 보여준다고 지적했다.
마이크로소프트가 문서화한 또 다른 캠페인에서는, 공격자들이 CVE-2026-45312·CVE-2026-28797·CVE-2026-24770·CVE-2025-68700·CVE-2025-69286 등의 취약점을 이용해 노출된 RAGFlow 인스턴스를 공격함으로써 지속성을 확보하고 LLM(대형 언어 모델) 공급자 키 및 관련 메타데이터를 탈취하는 것으로 의심된다.
마이크로소프트는 "관찰된 목표는 일관됐다. 실행 경로는 제품마다 달랐지만, 텔레메트리 데이터는 모든 사례에서 자격증명 수집, 지속적 접근 메커니즘, 자원 수익화를 보여줬다"고 밝혔다. "방어자들은 AI 워크로드를 독립된 애플리케이션이 아닌, 제어 플레인 역할에 따라 모니터링해야 한다."
"구속력 있는 운영 지침(BOD) 26-04: 위험 기반 보안 업데이트 우선순위 지정"에 따라, FCEB(연방 민간 행정부) 기관들은 CVE-2026-48710 및 CVE-2026-59822를 제외한 모든 취약점에 대해 2026년 9월 5일까지 패치를 적용할 것을 권고받았다. CVE-2026-48710(Starlette)과 CVE-2026-59822(LiteLLM) 취약점은 2026년 9월 16일까지 조치해야 한다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
