Kiteworks, 최고 심각도의 코드 인젝션 취약점 패치

한 줄 요약

보안 파일공유 업체 Kiteworks가 126개의 취약점을 수정하는 보안 업데이트를 발표했습니다. 이 중 가장 심각한 것은 이메일 보호 게이트웨이(EPG) 제품에서 발견된 최고 등급의 취약점(CVE-2026-54154)으로, 공격자가 로그인 없이도 원격으로 시스템을 완전히 장악할 수 있습니다. Kiteworks(옛 Accellion)는 전 세계 수천 개 기업과 정부기관에 서비스를 제공하며 이용자가 1억 명이 넘는 만큼 영향 범위가 큽니다. 같은 패치에서 인증 우회, 관리자 계정 탈취 등 11개의 심각한 취약점도 함께 수정됐습니다. 아직 CISA의 실제 악용 확인 목록(KEV)에는 등재되지 않았지만, 지난주 제로데이 공격 우려로 서버를 일시 중단했던 사건과 맞물려 있어 기업 보안 담당자는 신속한 패치가 필요합니다.

사건

Kiteworks가 이메일 보호 게이트웨이(EPG)의 최고 심각도 취약점(CVE-2026-54154)을 포함해 총 126개 취약점을 수정하는 패치를 발표했다.

영향

인증 없이 원격에서 코드를 실행해 EPG 장비의 관리자(root) 권한까지 탈취할 수 있다. 전 세계 수천 개 기업·정부기관과 1억 명 이상의 이용자가 영향권에 있다.

원인

공개적으로 접근 가능한 엔드포인트에서 경로 탐색(path traversal), 코드 인젝션, 인증 누락이 연쇄적으로 결합된 입력 처리 결함이 원인이다.

대응

Kiteworks는 EPG 9.4.1 이상 버전에서 해당 취약점을 패치했으며, Core와 EPG의 인증 우회·계정 탈취·XSS 등 11개 심각한 취약점도 함께 수정했다.

실무 포인트

KEV에는 아직 등재되지 않았지만 공격 난이도가 낮고 사용자 상호작용도 필요 없어, EPG 사용 기업은 즉시 9.4.1 이상으로 업데이트하고 인터넷 노출 여부를 점검해야 한다.

본문

보안 파일공유 소프트웨어 업체 Kiteworks가 126개의 취약점을 해결하는 보안 업데이트를 발표했습니다. 여기에는 자사의 이메일 보호 게이트웨이(Email Protection Gateway, EPG) 보안 솔루션에 영향을 미치는 최고 심각도 결함도 포함됩니다.

EPG는 기업용 이메일, 관리형 파일 전송(Managed File Transfer, MFT), 파일 공유, API, 웹 폼을 하나의 플랫폼으로 통합하는 Kiteworks Private Content Network(PCN)의 구성 요소입니다.

과거 Accellion으로 알려졌던 Kiteworks는 전 세계 수천 개 기업과 정부기관에 서비스를 제공하고 있으며, Private Content Network의 최종 사용자는 1억 명이 넘습니다.

이번 보안 패치에서 Kiteworks는 Core 및 EPG 구성 요소에서 발견된 11개의 심각한 인증 우회, 관리자 계정 탈취, 저장형 크로스사이트 스크립팅(stored cross-site scripting, XSS), 부적절한 접근 제어, 부적절한 인증 취약점도 함께 수정했습니다.

CVE-2026-54154로 추적되는 이 최고 심각도 취약점은 Kiteworks의 버그 바운티 프로그램을 통해 YesWeHack에서 보고되었습니다.

이 취약점이 악용될 경우, 권한이 없는 원격 공격자가 경로 탐색(path traversal), 코드 인젝션, 인증 누락이 연쇄적으로 결합된 낮은 복잡도의 공격을 통해 사용자 상호작용 없이도 코드 실행 권한을 얻고 대상 EPG 장비를 장악할 수 있습니다.

이 결함은 9.4.1 이전의 모든 Kiteworks Email Protection Gateway 릴리스에 영향을 미치며, 현재 9.4.1 이상 버전에서 패치되었습니다.

"Kiteworks Email Protection Gateway의 외부에 공개적으로 노출된 엔드포인트에서 발생한 입력 처리 결함들의 조합으로 인해, 인증되지 않은 원격 공격자가 임의 코드 실행을 달성하고, 추가적인 로컬 취약점을 연쇄적으로 이용해 장비에 대한 완전한 관리자(root) 권한으로까지 권한을 상승시킬 수 있었습니다,"라고 Kiteworks는 수요일 발표한 권고문에서 설명했습니다.

지난주 Kiteworks는 임박한 제로데이 사이버 공격 가능성을 경고하는 위협 정보를 입수한 후 고객들에게 서버를 중단할 것을 권고했습니다.

Kiteworks는 월요일 심각한 취약점을 패치한 뒤 이 예방적 권고를 해제하고 호스팅 중인 모든 고객 시스템을 다시 온라인으로 전환했으며, 침해나 의심스러운 활동의 증거는 발견되지 않았다고 밝혔습니다. 다만 Kiteworks는 아직 수정된 해당 취약점에 대한 추가 세부사항을 공개하지 않았으며, 추적을 용이하게 할 CVE ID도 아직 부여하지 않았습니다.

위협 감시 기관 Shadowserver는 현재 인터넷에 노출된 Kiteworks 장비를 약 400대 추적하고 있지만, 이 중 몇 대가 이미 패치되었는지 또는 허니팟인지에 대한 정보는 제공하지 않습니다.