체크포인트(Check Point)의 보안관리 서버에서 로그인 없이도 원격으로 시스템을 마음대로 제어할 수 있는 심각한 취약점(CVE-2026-91843)이 공개됐습니다. 이 취약점은 로그인 처리 과정의 버그를 이용해 공격자가 관리자 계정 없이도 가장 높은 권한(root)으로 코드를 실행할 수 있어, 위험도 점수(CVSS)가 10점 만점에 9.8점으로 매우 높습니다. 피해를 입으면 조직 전체의 방화벽 정책과 네트워크 보안 설정이 공격자 손에 넘어갈 수 있습니다. 체크포인트는 긴급 패치(라이브패치)를 배포했으며, 즉시 적용이 어려운 경우에는 관리 서버에 접근 가능한 IP를 신뢰된 내부 주소로 제한해야 합니다. 현재까지 실제 공격 사례나 공개된 공격 코드(PoC)는 확인되지 않았으나, 취약점의 파급력이 크므로 신속한 조치가 필요합니다.
체크포인트 보안관리 서버(Security Management Server) 및 로그 서버에서 인증 전 단계에 스택 기반 버퍼 오버플로(CVE-2026-91843, CVSS 9.8)가 발견됐다. 공격자는 조작된 로그인 요청만으로 root 권한의 원격 코드 실행(RCE)이 가능하다.
방화벽 정책·관리자 권한·네트워크 구성 등을 관제하는 중앙 시스템이 침해될 경우, 조직 전체 네트워크 보안 정책에 대한 추가 공격으로 이어질 수 있다. 인터넷에 노출된 유사 시스템이 전 세계 약 3,836대로 파악된다.
로그인 처리 과정(인증 전 단계)에서 비정상적으로 긴 사용자 이름 입력값을 검증하지 않아 스택 버퍼 오버플로가 발생한다.
체크포인트는 9월 16일 라이브패치(LivePatch)를 배포했다. 보호된 패치 수준은 R82.20 Take 29, R82.10 Take 28, R82 Take 28, R81.20 Take 28 이상이며, cplp list 명령으로 실제 적용 여부를 반드시 확인해야 한다. 즉시 패치가 어려우면 신뢰 클라이언트(Trusted Clients) 설정으로 접근 IP를 제한하고 관리 인터페이스의 인터넷 노출을 차단해야 한다.
체크포인트 보안관리·로그 서버 운영 기업은 버전과 라이브패치 적용 여부를 즉시 확인해야 한다. Smart-1 Cloud 환경은 이미 패치가 적용돼 영향을 받지 않는다. 실제 악용 사례는 아직 없으나 CVSS 9.8·비인증 RCE·root 권한이라는 조합으로 위험도가 매우 높다.
본문
가
가
기사의 본문 내용은 이 글자크기로 변경됩니다.
기업의 방화벽 정책과 관리자 접근, 보안로그를 중앙에서 관리하는 체크포인트 보안관리 서버에서 인증 없이 원격코드실행(RCE)이 가능한 치명적 취약점이 공개돼 신속한 패치가 요구된다.
체크포인트는 9월 16일 보안관리 서버(Security Management Server)와 로그 서버(Log Server)에 영향을 미치는 CVE-2026-91843을 공개하고 긴급 보안 업데이트를 권고했다. 취약점의 CVSS 점수는 9.8로 평가됐다.
CVE-2026-91843은 사용자 인증이 완료되기 전 로그인 처리 과정에서 발생하는 스택 기반 버퍼 오버플로 취약점이다. 공격자는 별도의 관리자 계정을 확보하지 않아도 조작된 로그인 요청을 보내 취약한 시스템에서 임의 코드를 root 권한으로 실행할 수 있다.
Censys 분석에 따르면 비정상적으로 긴 사용자 이름이 포함된 로그인 요청으로 취약점을 유발할 수 있다.
방화벽 정책 관리하는 중앙 시스템이 공격 대상
영향 대상에는 보안관리 서버, 멀티도메인 보안관리 서버(Multi-Domain Security Management Server), 로그 서버, 멀티도메인 로그 서버(Multi-Domain Log Server) 등이 포함된다.
관리 기능과 게이트웨이가 하나의 시스템에 설치된 통합형(Standalone) 구성도 패치가 필요하다. 반면 체크포인트가 호스팅하는 스마트-1 클라우드(Smart-1 Cloud) 환경에는 이미 수정사항이 적용돼 영향을 받지 않는다.
보안관리 서버는 방화벽 정책 설정과 관리자 권한, 네트워크 구성정보 등을 관리하는 핵심 시스템이다. 따라서 해당 시스템이 root 권한으로 침해될 경우 관리서버 자체뿐 아니라 조직의 네트워크 보안정책과 관리환경에 대한 추가 공격으로 이어질 가능성을 고려해야 한다.
인터넷 자산 검색업체 Censys는 전 세계에서 체크포인트 보안관리 또는 로그 서버 역할을 나타내는 시스템 약 3,836대를 확인했다.
다만 이 수치는 제품의 관리·로그 서버 역할을 식별한 결과로, 해당 시스템 모두가 CVE-2026-91843에 취약하다는 의미는 아니다. 외부 스캔만으로 개별 시스템의 정확한 버전과 점보 핫픽스(Jumbo Hotfix) 적용 수준을 확인하기 어렵기 때문이다.
주요 버전 영향…라이브패치 적용 여부 확인 필요
CERT.LV에 따르면 영향을 받는 버전에는 R82.20을 비롯해 R82.10 점보 핫픽스 Take 44 이하, R82 Take 126 이하, R81.20 Take 166 이하 등이 포함된다. R81.10과 R81·R80 계열 일부는 지원 종료 버전이다.
체크포인트는 취약점 대응을 위해 라이브패치(LivePatch)를 배포했다.
CERT.LV는 보호된 패치 수준으로 R82.20 Take 29, R82.10 Take 28, R82 Take 28, R81.20 Take 28 이상을 제시했다. 자동 업데이트를 사용하는 환경에서도 실제 패치가 적용됐는지 cplp list 명령으로 확인하는 것이 권고된다.
즉시 업데이트가 어려운 경우에는 신뢰 클라이언트(Trusted Clients) 설정을 이용해 관리서버에 접근할 수 있는 시스템을 신뢰할 수 있는 내부 IP로 제한해야 한다. 관리 인터페이스를 인터넷에 직접 노출하지 않는 것도 중요하다.
9월 19일 현재 체크포인트는 CVE-2026-91843이 실제 공격에 악용됐다는 증거는 확인하지 못했다고 밝혔다. 공개된 개념증명(PoC)이나 확인된 실제 공격 사례도 아직 없는 상태다.
다만 인증 전 단계에서 root 권한의 코드 실행으로 이어질 수 있고, 공격 대상이 조직의 방화벽 정책을 통제하는 중앙관리 시스템이라는 점에서 위험도가 높다.
체크포인트 제품을 운영하는 기업과 기관은 보안관리 서버와 로그 서버의 버전 및 라이브패치 적용 여부를 우선 확인하고, 신뢰 클라이언트 설정과 관리 인터페이스 외부 노출 여부도 함께 점검할 필요가 있다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
