새로운 Check Point 취약점, 해커가 루트 권한으로 코드 실행 가능

한 줄 요약

Check Point의 Security Management Server, Security Gateway, Log Server에서 다수의 심각한 취약점이 발견되었습니다. 그 중 CVE-2026-91843은 로그인 과정의 스택 버퍼 오버플로(프로그램 메모리 경계를 넘쳐 공격자가 악성 코드를 실행할 수 있는 결함)로, 권한이 전혀 없는 외부 공격자도 원격에서 루트(최고 관리자) 권한으로 시스템을 장악할 수 있습니다. 이미 실제 공격에 활용된 취약점도 두 건 있는데, CVE-2026-50751은 Qilin 랜섬웨어 조직이 6월부터 악용 중이고, CVE-2026-16232는 7월부터 관리자 패널 무단 접근에 사용되고 있습니다. Check Point는 최신 LivePatch 적용과 함께 신뢰된 IP 주소로 관리 접근을 제한하는 임시 조치를 권고하고 있으며, 네덜란드 국가사이버보안센터(NCSC-NL)도 추가 취약점에 대한 공격 시도가 곧 발생할 것으로 예상한다고 경고했습니다.

사건

Check Point Security Management Server, Security Gateway, Log Server에서 총 5개의 심각한 취약점 발견. CVE-2026-91843은 로그인 처리의 스택 버퍼 오버플로를 이용해 루트 권한 원격 코드 실행(RCE)이 가능한 취약점이며, CVE-2026-50751·CVE-2026-16232는 이미 실제 공격에 악용 중인 인증 우회 제로데이.

영향

권한 없는 공격자가 낮은 복잡도의 공격으로 원격에서 루트 권한 장악 가능. CVE-2026-50751은 Qilin 랜섬웨어 조직이 6월부터 악용 중이며, CVE-2026-16232는 SmartConsole 관리자 패널 무단 접근에 7월부터 악용되고 있음.

원인

로그인 처리의 스택 버퍼 오버플로(CVE-2026-91843), VPN 인증서 ASN.1 디코딩 과정의 힙 오버플로(CVE-2026-85103), 비인증 코드 실행 가능한 인증 우회(CVE-2026-85102), 인증 우회 제로데이 2건(CVE-2026-50751, CVE-2026-16232).

대응

Check Point는 LivePatch 업데이트를 배포했으며, 즉시 적용이 어려운 경우 SmartConsole에서 신뢰된 IP/서브넷으로만 접근을 제한하는 임시 조치를 권고. NCSC-NL도 CVE-2026-85102·CVE-2026-85103에 대한 즉각적인 패치를 촉구.

실무 포인트

CVE-2026-91843 공격 탐지는 Audit·Admin 로그에서 'Administrator failed to log in: Username too long' 경보를 확인. 즉시 최신 LivePatch 적용 및 SmartConsole의 Manage & Settings > Permissions & Administrators > Trusted Clients에서 관리 접근 IP를 제한할 것.

본문

Check Point Software가 관리 시스템에서 공격자가 루트 권한으로 코드를 실행할 수 있는 심각한 취약점을 해결하는 보안 업데이트를 발표했습니다.

CVE-2026-91843으로 추적되는 이 취약점은 Security Gateway(방화벽)를 관리하고 네트워크 보안 이벤트를 모니터링하는 Security Management Server 인스턴스의 로그인 처리 과정에 존재하는 스택 기반 버퍼 오버플로 결함에서 비롯됩니다.

이 보안 문제는 Check Point 방화벽이 생성하는 로그를 수집·저장하는 전용 서버인 Log Server에도 영향을 미칩니다.

취약점이 성공적으로 악용될 경우, 권한이 없는 위협 행위자도 사용자 상호작용 없이 낮은 복잡도의 공격으로 루트 원격 코드 실행(RCE)이 가능합니다.

Check Point는 최신 LivePatch를 적용하기 어려운 고객을 위한 임시 완화 조치도 제공했습니다. 취약 시스템을 공격에 강화하고, SmartConsole 대시보드의 Manage & Settings > Permissions & Administrators > Trusted Clients 항목을 수정하여 신뢰된 IP 주소/서브넷으로만 접근을 제한하는 방식입니다.

회사 측은 아직 이 취약점이 실제로 악용되고 있다고 표시하지는 않았지만, 보안팀이 Audit 및 Admin 로그인 로그에서 "Administrator failed to log in: Username too long" 경보를 확인해 CVE-2026-91843 공격을 식별할 수 있다고 밝혔습니다.

SmartConsole의 CVE-2026-91843 경보 (Check Point Software)

지난주, Check Point는 VPN 인증서 ASN.1 디코딩 흐름의 힙 오버플로에서 비롯된 또 다른 심각한 원격 코드 실행 취약점(CVE-2026-85103)도 패치했습니다. 이 취약점은 Check Point 방화벽과 관리 시스템에 영향을 미칩니다.

"구성과 무관하게 모든 Security Management Server 배포 환경이 취약합니다," Check Point는 경고했습니다. "이 취약점은 특정 관리 구성에 의존하지 않습니다. VPN이 사용 중이지 않거나 구성되지 않은 경우에도 관리 시스템은 취약합니다."

같은 날, 인증되지 않은 해커가 취약한 방화벽에서 인증을 우회하고 원격으로 코드를 실행할 수 있는 두 번째 심각한 취약점(CVE-2026-85102)도 패치되었습니다.

이 취약점들은 아직 실제로 악용되지 않았지만, Check Point는 최근 몇 달간 다른 취약점들이 실제 공격에 사용되고 있다고 밝혔습니다.

첫 번째인 인증 우회 취약점(CVE-2026-50751) 제로데이는 6월부터 Qilin 랜섬웨어 계열사에 의해 악용되었으며, 두 번째 인증 우회 제로데이(CVE-2026-16232)는 적어도 7월부터 SmartConsole 관리자 패널에 관리자 권한으로 인증하는 데 악용되고 있습니다.

최근에는 네덜란드 국가사이버보안센터(NCSC-NL)가 "곧 공격 시도가 발생할 것으로 예상"한다며 CVE-2026-85102와 CVE-2026-85103으로 추적되는 두 가지 심각한 Check Point VPN 취약점에 대한 패치를 우선적으로 적용하도록 조직들에게 경고했습니다.