미국 사이버보안 기관 CISA가 Zyxel GS1900 시리즈 네트워크 스위치의 취약점(CVE-2026-7273)을 실제 악용이 확인된 목록(KEV)에 추가했습니다. 이 결함은 같은 네트워크에 있는 공격자가 인증 없이 운영체제 명령을 마음대로 실행할 수 있는 심각한 취약점(CVSS 점수 8.8)으로, 패치는 이미 제공된 상태입니다. 동시에 보안업체 Arctic Wolf는 Veeam Agent for Microsoft Windows의 로컬 권한 상승 취약점(CVE-2026-32996)도 실제 공격에 이용되고 있다고 경고했는데, 이를 악용하면 일반 사용자가 시스템 최고 권한(SYSTEM)을 획득할 수 있습니다. 특히 Veeam 취약점은 공격 방법을 보여주는 예시 코드(PoC)가 이미 GitHub에 공개되어 있어 진입 장벽이 매우 낮습니다. 두 제품 모두 패치가 배포되었으므로 해당 제품을 운용 중인 기관은 즉시 업데이트를 적용해야 합니다.
CISA가 Zyxel GS1900 시리즈 스위치의 스택 기반 버퍼 오버플로 취약점(CVE-2026-7273)을 KEV 목록에 등재하며 실제 악용을 확인했고, Arctic Wolf는 Veeam Agent for Windows의 SYSTEM 권한 상승 취약점(CVE-2026-32996)도 실제 공격에 이용되고 있다고 경고했다.
CVE-2026-7273은 LAN 내 비인증 공격자가 OS 명령을 임의 실행할 수 있게 하며, CVE-2026-32996은 로컬 접근 권한을 가진 공격자가 SYSTEM 수준의 최고 제어권을 획득할 수 있게 한다. Veeam 취약점은 공개 PoC까지 존재해 대규모 악용 가능성이 높다.
Zyxel은 CGI 프로그램의 HTTP 요청 처리 과정에서 스택 기반 버퍼 오버플로가 발생하며, Veeam은 로컬 gRPC 명명 파이프의 elevated 세션 UID가 요청 사용자나 연결에 바인딩되지 않고 캐싱되어, 일반 사용자가 읽을 수 있는 로그 파일에서 해당 UID를 탈취해 악용할 수 있다.
Zyxel은 2026년 6월 모델별 수정 펌웨어를 배포했으며, FCEB(연방 민간 행정부) 기관은 2026년 9월 24일까지 패치 적용이 의무화되었다. Arctic Wolf는 Veeam 취약점에 대한 즉각적인 패치 적용을 권고했다.
Zyxel GS1900 스위치 운용 기관은 모델별 수정 펌웨어로 즉시 업데이트해야 하며, Veeam Agent for Windows 사용 환경은 CVE-2026-32996 패치를 최우선으로 적용해야 한다. Veeam 취약점은 로그 파일 접근만으로도 악용 가능하고 공개 PoC까지 존재해 내부 위협 시나리오에서도 위험하다.
본문
Ravie Lakshmanan · 2026년 9월 22일 · 취약점 / 엔드포인트 보안
미국 사이버보안 및 인프라 보안국(CISA)은 월요일, Zyxel GS1900 시리즈 스위치에 영향을 미치는 이미 패치된 보안 취약점을 실제 악용 증거를 근거로 알려진 악용 취약점(KEV) 목록에 추가했다.
CVE-2026-7273(CVSS 점수: 8.8)으로 추적되는 이 취약점은 스택 기반 버퍼 오버플로(stack-based buffer overflow) 취약점으로, 운영체제(OS) 명령의 임의 실행으로 이어질 수 있다.
"Zyxel GS1900 시리즈 스위치 펌웨어의 CGI 프로그램에 존재하는 스택 기반 버퍼 오버플로 취약점은 LAN 내 비인증 공격자가 조작된 HTTP 요청을 통해 해당 결함을 악용해 OS 명령을 실행할 가능성을 허용합니다." Zyxel이 2026년 6월에 발표한 보안 권고에서 밝힌 내용이다.
해당 취약점은 다음 버전들에서 수정되었다:
- GS1900-8 2.90(AAHH.1)C0 이하 → 2.90(AAHH.2)C0에서 수정
- GS1900-8HP 2.90(AAHI.1)C0 이하 → 2.90(AAHI.2)C0에서 수정
- GS1900-10HP 2.90(AAZI.1)C0 이하 → 2.90(AAZI.2)C0에서 수정
- GS1900-16 2.90(AAHJ.1)C0 이하 → 2.90(AAHJ.2)C0에서 수정
- GS1900-24 2.90(AAHL.1)C0 이하 → 2.90(AAHL.2)C0에서 수정
- GS1900-24E 2.90(AAHK.1)C0 이하 → 2.90(AAHK.2)C0에서 수정
- GS1900-24EP 2.90(ABTO.1)C0 이하 → 2.90(ABTO.2)C0에서 수정
- GS1900-24HPv2 2.90(ABTP.1)C0 이하 → 2.90(ABTP.2)C0에서 수정
- GS1900-48 2.90(AAHN.1)C0 이하 → 2.90(AAHN.2)C0에서 수정
- GS1900-48HPv2 2.90(ABTQ.1)C0 이하 → 2.90(ABTQ.2)C0에서 수정
CISA는 악용 주체가 누구인지, 언제 시작되었는지, 얼마나 많은 기관이 표적이 되었는지, 얼마나 많은 공격이 성공했는지, 그리고 공격자가 취약한 서비스에 침투한 후 어떤 행동을 했는지에 대해서는 공개하지 않았다.
Zyxel은 이 취약점을 발견하고 신고한 ISCAS 소속 Lei Gu, Jun Cao, Zhiqing Rui, Jingzheng Wu, Tianyue Luo에게 공로를 인정했다. 기사 작성 시점 기준으로 Zyxel은 아직 실제 악용을 확인하는 내용으로 보안 권고를 업데이트하지 않은 상태다.
실제 악용 정황을 고려해 연방 민간 행정부(FCEB, Federal Civilian Executive Branch) 소속 기관들은 최적의 보호를 위해 2026년 9월 24일까지 패치를 적용해야 한다.
Veeam Agent for Windows 취약점 실제 악용 사례
이번 공개는 Arctic Wolf가 Veeam Agent for Microsoft Windows의 로컬 권한 상승(local privilege escalation) 취약점인 CVE-2026-32996(CVSS 점수: 7.3)의 실제 악용을 경고한 것과 함께 나왔다. 이 취약점은 로컬 접근 권한을 가진 공격자가 영향을 받는 엔드포인트에서 SYSTEM 수준의 제어권을 획득할 수 있게 한다.
"해당 문제는 Veeam Endpoint Backup 서비스가 로컬 gRPC 명명 파이프(named pipe) \\.\pipe\Veeam\VAW\ServiceConnectionPipe를 통해 elevated 클라이언트 세션을 처리하는 방식에서 비롯됩니다." 회사 측 설명에 따르면 "서비스는 elevated 관리자 주체(principal)를 클라이언트가 제어하는 세션 UID에 대해 캐싱하는데, 이 UID는 요청 사용자나 연결에 바인딩되지 않습니다."
"elevated 세션 UID는 일반 사용자도 읽을 수 있는 C:\ProgramData\Veeam\Endpoint\Svc.VeeamEndpointBackup.log에 기록되므로, 공격자는 유효한 UID를 획득해 SYSTEM 권한으로 명령을 실행하는 데 악용할 수 있습니다. 공개된 GitHub PoC(개념 증명 코드)는 whoami 명령을 실행하고 결과를 파일에 기록하는 방식으로 이를 시연합니다."
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
