Kiteworks, 9시간 예방적 셧다운 중 발견된 심각한 취약점 수정

Ravie Lakshmanan 2026년 9월 29일 취약점 / 엔터프라이즈 보안

Kiteworks는 월요일, 예정된 예방적 셧다운 기간 동안 연방 정보당국과 협력해 심각한 보안 취약점을 발견하고 해결했다고 밝혔다.

"셧다운 기간 중 이러한 활동을 통해, 전체 고객 기반의 1% 미만에서만 활성화되어 있는 특정 기능에 한정된, 이전에 알려지지 않은 심각한 취약점을 발견했습니다." 회사는 성명에서 밝혔다. "Kiteworks는 해당 시간 내에 수정 사항을 개발해 배포했고, 모든 환경에 걸쳐 추가적인 보호 계층을 적용했습니다."

이 취약점이 악의적인 목적으로 악용된 적이 있다는 증거는 없다. Kiteworks의 다른 제품군은 이 결함의 영향을 받지 않는다.

이번 발표는 과거 Accellion으로 알려졌던 Kiteworks가 잠재적인 사이버 공격이 임박했다는 첩보를 입수한 후, 고객사들에게 9시간 동안 시스템을 오프라인으로 전환할 것을 촉구하고, 고객을 대신해 호스팅하는 환경까지 함께 종료한 지 며칠 만에 나온 것이다.

회사는 이번 조치가 확인된 자사 시스템 침해에 대한 대응이라기보다는 예방적 성격이 강하다고 강조했다. 2026년 9월 27일, 셧다운 권고는 해제되었다.

Kiteworks는 해당 결함의 성격이나 악용 가능 방식에 대한 구체적인 내용을 공개하지 않았다. 작성 시점 기준으로 CVE(공통 취약점 및 노출, Common Vulnerabilities and Exposures) 식별자도 부여되지 않은 상태다. The Hacker News는 이 결함에 대한 공개 권고문을 발표하고 추적을 쉽게 하기 위해 CVE ID를 부여할 계획이 있는지 회사에 문의했다.

"고객사들에게 운영 시스템을 오프라인으로 전환하라고 말하는 것은 어떤 벤더도 가볍게 내릴 수 있는 결정이 아니며, 우리는 고객들에게 무엇을 요구하고 있는지 정확히 알고 있었습니다." Kiteworks의 CISO인 Frank Balonis는 말했다.

"그럼에도 우리는 그렇게 했습니다. 확실성과 편의성 사이에서 선택해야 할 때, 고객 데이터는 우리가 도박을 걸 수 있는 대상이 아니기 때문입니다. 그 결정이 나머지 모든 것을 가능하게 했습니다. 고객의 데이터를 보호하기 위해서라면 내일이라도 똑같은 결정을 내릴 것입니다."

이제 위협 상황이 지나갔고 별다른 이상 징후가 관찰되지 않았으므로, 고객들은 Kiteworks 시스템을 다시 온라인 상태로 전환할 것을 권고받는다.