Check Point, Arista, F5 등 주요 네트워크 보안 장비에서 실제로 악용 중인 심각한 취약점 4개가 확인됐습니다. Check Point의 경우 관리 서버(CVE-2026-93616)가 이미 7월부터 공격에 사용됐고, 방화벽 제품(CVE-2026-85102)에 대한 공격 시도도 9월부터 급증하고 있습니다. Arista VeloCloud와 F5 BIG-IP APM에서도 제로데이(패치 전 공격) 취약점이 발견됐으며, 공격자는 로그인 없이도 시스템을 원격 장악할 수 있습니다. CISA(미국 사이버보안청)는 미국 연방기관에 9월 25일까지 4개 취약점 모두 패치를 완료하도록 명령했습니다. 해당 제품을 사용하는 기업은 즉시 패치를 적용하고, 침해 여부를 확인해야 합니다.
Check Point Management Server(CVE-2026-93616)가 2026년 7월부터 실제 공격에 악용됐으며, Check Point Spark 방화벽(CVE-2026-85102)도 9월 12일부터 전 세계 고객을 대상으로 대규모 공격 시도가 관측됐다. Arista VeloCloud Orchestrator(CVE-2026-93952)와 F5 BIG-IP APM(CVE-2026-94127)도 제로데이 공격에 노출됐다.
공격자는 인증 없이 Check Point 관리 서버에서 임의 스크립트를 업로드·실행할 수 있으며, 이미 일부 고객사가 피해를 입었다. F5 BIG-IP APM에서는 인증 없이 RCE(원격 코드 실행)가 가능하고, Arista SD-WAN 중앙 관리 플랫폼도 위험에 노출된다.
CVE-2026-93616은 경로 탐색(Path Traversal) 취약점, CVE-2026-85102는 인증 우회 및 RCE 취약점이며, 모두 사전 인증(pre-authentication) 단계에서 악용 가능하다. CVE-2026-94127은 OAuth Authorization Server로 설정된 인스턴스에서 악성 네트워크 트래픽 전송만으로 RCE가 발생한다.
Check Point는 긴급 핫픽스와 침해지표(IoC)를 공개했으며, 즉시 패치 적용이 어려운 경우 관리 서버 접근을 신뢰 내부 IP로 제한하도록 권고했다. CISA는 미국 연방 민간기관에 2026년 9월 25일까지 4개 취약점 패치 및 침해 여부 확인을 의무화했다.
Check Point Security Management Server·Spark Firewall, Arista VeloCloud Orchestrator, F5 BIG-IP APM 사용 기업은 즉시 패치를 적용하고, 각 벤더가 제공한 침해지표를 참고해 이상 로그인·내부 스캔 등 이상 징후를 점검해야 한다. 민간기업도 CISA 권고에 준해 긴급 대응을 권장한다.
본문
Check Point Software는 2026년 7월 23일부터 실제 악용이 확인된 심각한 Check Point Management Server 취약점(CVE-2026-93616)에 대한 긴급 수정 패치를 배포했다.
또한 회사는 2026년 9월 9일에 패치를 발표한 Check Point (Quantum) Security Gateway의 사전 인증(pre-authentication) 원격 코드 실행(RCE) 취약점(CVE-2026-85102)에 대해, 패치 공개 며칠 후부터 탐색 시도가 시작됐음을 확인했다.
Check Point의 리서치 부문 VP인 Lotem Finkelstein은 "패치 발표 당시에는 악용 증거가 없었지만, 현재 전 세계 Check Point Spark 고객을 대상으로 한 익스플로잇 시도가 관측되고 있다"고 밝혔다.
CVE-2026-93616 개요
CVE-2026-93616은 Check Point Management 웹 서비스의 사전 인증 경로 탐색(Path Traversal) 취약점으로, 다음 Check Point 제품에 영향을 미친다: Security Management Server, Multi-Domain Security Management Server, Log Server, Multi-Domain Log Server, SmartEvent.
공격자는 이 취약점을 악용해 Check Point Management Server에 임의 스크립트를 업로드하고 실행할 수 있으며, 이미 일부 사례가 발생했다: "Check Point는 소수의 고객사가 공격을 받았음을 인지하고 있다."
벤더는 수정 패치와 함께 고객이 확인해야 할 침해지표(IoC)를 제공했다.
즉시 핫픽스를 적용할 수 없는 고객은 관리 서버에 대한 접근을 신뢰할 수 있는 내부 IP 주소로 제한해 악용 위험을 완화할 수 있다.
CVE-2026-85102 개요
CVE-2026-85102는 Check Point Security Gateway에 영향을 미치는 인증 우회 및 RCE 취약점이다. 구체적으로는 로컬 및 중앙 관리 방식 모두에서 Check Point Spark 방화벽에 영향을 준다.
Check Point Spark는 중소기업(SMB)과 매니지드 서비스 제공업체(MSP)를 대상으로 한 차세대 방화벽 제품군이다.
Check Point는 "2026년 9월 12일부터 Spark 고객을 대상으로 한 대규모 익스플로잇 시도가 관측됐다. 시도는 VPN 서비스 및 프록시를 포함한 익명화 인프라에서 발생했다"고 밝혔다. 해당 시도에는 보안 권고문에 명시된 특정 인증서 주체(certificate subjects)가 사용됐다.
회사는 CVE-2026-85102 수정 패치를 아직 설치하지 않은 고객에게 즉시 적용할 것을 권고하며, 다음 조치도 함께 요청했다:
- Mobile Access 인증서 기반 로그인에서 비정상적인 로그인 여부 로그 검토
- Mobile Access를 통해 로그인한 의심 사용자로부터 발생하는 내부 포트 및 서비스 스캔 등 2단계 활동 모니터링
즉시 시스템을 업데이트할 수 없는 경우를 위한 완화 옵션도 제공되지만, 중앙 관리 방식의 Spark 방화벽에만 적용 가능하다.
Arista 및 F5 제로데이
두 Check Point 취약점은 화요일(9월 22일) CISA의 알려진 악용 취약점(KEV) 카탈로그에 등재됐으며, 제로데이 공격에 악용된 추가 취약점 2건도 함께 등재됐다:
- CVE-2026-93952: VeloCloud SD-WAN 중앙 관리 플랫폼인 Arista VeloCloud Orchestrator에 영향을 미치는 잘못된 입력 유효성 검사(Improper Input Validation) 취약점.
- CVE-2026-94127: F5 Networks의 BIG-IP APM(Access Policy Manager)의 취약점으로, 인스턴스가 OAuth Authorization Server로 설정된 경우 인증되지 않은 공격자가 악성 네트워크 트래픽을 전송해 RCE를 수행할 수 있다.
공격에 대한 세부 정보는 공개되지 않았으나, 두 벤더 모두 침해지표(IoC)를 공유했다.
CISA는 미국 민간 연방기관에 금요일(9월 25일)까지 4개 취약점 모두를 조치하고 시스템 침해 여부를 확인하도록 명령했다. 민간 기업도 동일하게 대응할 것을 권고했다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
