미국 사이버보안 당국(CISA)이 VMware vCenter의 심각한 취약점(CVE-2026-59310)을 랜섬웨어 조직들이 적극적으로 악용하고 있다고 경고했습니다. 이 취약점은 인증 없이도 원격에서 임의 코드를 실행할 수 있는(RCE) 디렉터리 탐색 결함으로, Broadcom이 7월 29일 패치를 배포했습니다. 패치 이후에도 47개국 361개 이상의 IP 주소가 이미 침해된 것으로 확인됐으며, 현재 인터넷에 노출된 vCenter 서버는 450개를 넘는 것으로 추적되고 있습니다. vCenter·ESXi 서버는 기업의 핵심 데이터와 네트워크 전체에 대한 접근권을 줄 수 있어 랜섬웨어 조직의 주요 표적이 됩니다. 아직 패치를 적용하지 않은 조직은 즉시 업데이트를 완료해야 합니다.
랜섬웨어 조직들이 VMware vCenter의 치명적 취약점(CVE-2026-59310)을 악용해 기업 환경을 공격하고 있다. 이미 47개국에서 361개 이상의 IP가 침해됐으며, APT(국가 지원 해킹) 행위자가 최초 악용한 후 랜섬웨어 조직으로 공격이 확산됐다.
vCenter 서버 침해 시 조직 내부 네트워크 전체와 민감 데이터에 대한 접근이 가능해진다. 랜섬웨어 조직들은 VMware 가상 머신 전용 암호화 도구를 보유하고 있어 기업 데이터 전체를 인질로 삼을 수 있다.
VMware vCenter Syslog 서버의 디렉터리 탐색(Path Traversal) 취약점으로, 인증 없이 원격에서 임의 코드를 실행할 수 있다. Broadcom은 7월 29일 패치를 배포했으나 미적용 시스템이 다수 남아 있다.
CISA는 해당 취약점을 KEV(실제 악용 확인 목록)에 등재하고 정부기관에 3일 내 패치 적용을 명령했다. Broadcom도 긴급 패치로 분류해 즉시 설치를 권고했다.
인터넷에 노출된 VMware vCenter 서버가 있다면 즉시 7월 29일 배포된 패치 적용 여부를 확인해야 한다. vCenter·ESXi 서버는 외부 인터넷에 불필요하게 노출되지 않도록 접근 제어를 강화해야 한다.
본문
미국 사이버보안·인프라보안국(CISA)은 보안 팀들에게 랜섬웨어 조직들이 7월에 패치된 치명적인 VMware vCenter 취약점을 악용하는 공격에 가담했다고 경고했습니다.
Broadcom은 7월 29일 이 보안 결함(CVE-2026-59310)을 수정했으며, vCenter Syslog 서버의 치명적인 디렉터리 탐색(directory traversal) 취약점으로 인증받지 않은 공격자가 임의 코드를 실행할 수 있다고 설명했습니다.
Broadcom은 당시 보충 FAQ를 통해 CVE-2026-59310 수정을 긴급 사안으로 취급하고 가능한 한 빨리 패치를 설치할 것을 고객들에게 경고했습니다.
2주 후, 디지털 포렌식·침해사고대응(DFIR) 기업인 QUIRSO는 APT(Advanced Persistent Threat, 국가 지원으로 의심되는 지속적 위협) 행위자가 이 취약점을 악용해 지속 접근과 원격 제어를 위한 역방향 SSH 도구를 배포한 후, 47개국에 걸쳐 361개 이상의 IP 주소가 침해된 것을 발견했다고 보고했습니다.
며칠 후, CISA는 CVE-2026-59310을 KEV(Known Exploited Vulnerabilities, 실제 악용 확인 취약점) 카탈로그에 추가하고 정부기관에 3일 이내에 vCenter 시스템을 보호하도록 명령했습니다.
지난 주말, CISA는 KEV 카탈로그를 다시 업데이트해 이 보안 취약점이 랜섬웨어 조직들에 의해 적극적으로 악용되고 있음을 표시했습니다.
인터넷 보안 위협 모니터링 기관인 Shadowserver는 현재 인터넷에 노출된 VMware vCenter 서버 450개 이상을 추적하고 있으나, 이 중 몇 대가 이미 해당 결함에 대한 패치를 적용했는지는 알 수 없습니다.
VMware, 랜섬웨어 조직의 표적이 되다
미국 사이버보안 당국은 아직 CVE-2025-60710을 노린 랜섬웨어 공격에 대한 세부 정보를 공유하지 않았지만, VMware 서버는 침해된 vCenter 또는 ESXi 서버가 조직의 네트워크 및 내부 시스템에 저장된 민감 데이터에 대한 접근권을 제공할 수 있어 흔히 표적이 됩니다.
최근 몇 년간 여러 랜섬웨어 조직들이 VMware 가상 머신을 표적으로 하는 전용 암호화 도구를 개발했는데, 기업 조직들이 기업 데이터를 관리하고 저장하는 데 가상 머신을 일반적으로 활용하기 때문입니다.
CISA는 또한 2월에 랜섬웨어 그룹들이 VMware ESXi 샌드박스 탈출 취약점(CVE-2025-22225) 악용을 시작했다고 경고했는데, 중국어권 위협 행위자들은 적어도 2024년 2월부터 이를 제로데이 공격에 활용해 왔습니다.
올해 초부터 CISA는 2월과 3월에 각각 VMware Aria Operations(CVE-2026-22719)와 VMware vCenter Server(CVE-2024-37079) 결함도 공격에 악용되고 있다고 지목했습니다.
지난 5년간 CISA는 VMware 취약점 26개를 실제 악용된 것으로 지정했으며, 그 중 9개는 랜섬웨어 조직에 의해서도 악용됐습니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
