포티넷 SIEM 뚫는 데 걸린 시간 60초: 널 바이트와 gRPC 틈새 노린 CVE-2026-106173 긴급 분석

보안 관제 센터(SOC)는 회사 안팎의 모든 전산망 로그를 모아 수상한 침입자를 감시하는 중앙 통제실이다. 그런데 바로 이 통제실의 핵심 뇌 역할을 하는 시스템 자체가 문을 열어두고 있었다면 어떤 일이 벌어질까. 글로벌 네트워크 보안 기업 포티넷의 핵심 보안 관제 플랫폼인 ‘포티SIEM(FortiSIEM)‘에서 아이디나 비밀번호 입력 없이도 외부에서 서버 제어권을 통째로 탈취할 수 있는 보안 취약점이 드러났다.

보안 취약점 관리 번호 ‘CVE-2026-106173’으로 지정된 이번 결함은 위험도 평가 지표(CVSS)에서 10점 만점에 9.4점이라는 매우 높은 점수를 받았다. 보안 전문 연구 기업 호라이즌3(Horizon3.ai)는 이 결함을 악용해 실제로 서버를 손에 넣을 수 있음을 입증하는 개념 검증(PoC) 공격 코드를 인터넷에 공개했다. 공격자가 악성 코드를 원격으로 밀어 넣은 뒤 서버가 알아서 실행하게 만드는 데 걸리는 시간은 길어야 60초에 불과하다.

gRPC 통신망의 허점을 파고든 널 바이트 공격의 전말

이번에 발견된 결함의 핵심은 포티SIEM 장비가 외부와 고속으로 통신하기 위해 열어둔 ‘gRPC’ 서비스 창구(TCP 포트 27918)에 있다. 본래 포티SIEM은 분산된 서버들 사이에서 분석 요청을 주고받기 위해 구글이 만든 통신 규격인 gRPC를 사용한다. 문제는 이 통신 창구로 들어오는 데이터 중에서 쿼리 식별 번호(query-id)라는 값을 다루는 처리 함수(SendQueryResult())가 사용자가 보낸 문자열을 아무런 필터링 없이 그대로 믿었다는 점이다.

공격자는 상위 폴더로 이동하는 명령어 기호(../)를 이용해 시스템의 원래 저장 경로를 벗어나는 ‘경로 조작(Path Traversal)’ 수법을 썼다. 하지만 소프트웨어 개발팀도 바보는 아니었기에, 서버 프로그램은 파일 이름 뒤에 항상 고유한 꼬리표(result-<발신IP>-0-0-<식별값>.dat)를 자동으로 덧붙이도록 만들어 두었다. 공격자가 원하는 파일 이름으로 저장하지 못하게 막는 일종의 안전장치였던 셈이다.

공격자들은 이 방어벽을 깨기 위해 컴퓨터 운영체제가 글자를 읽는 방식을 역이용했다. 문자열 끝을 알리는 널 바이트(\0) 기호를 gRPC의 압축 통신 계층 속에 숨겨서 보낸 것이다. 서버 프로그램은 파일 이름을 만들 때 널 바이트 뒤에 붙은 고유 꼬리표를 전부 무시해 버렸다. 결과적으로 공격자는 시스템 내부의 어떤 폴더든 원하는 이름으로 파일을 덮어쓸 수 있는 무제한 파일 쓰기 권한을 손에 쥐게 되었다.

공격자가 조준한 표적은 포티SIEM 내부에서 캐시 저장소(Redis)의 정상 작동 여부를 점검하는 쉘 스크립트 파일(redishb.sh)이었다. 이 파일은 시스템 관리 도구(cron)에 의해 매 60초마다 정기적으로 자동 실행된다. 공격자는 이 정상 스크립트 위에 자신이 심어둔 악성 명령어를 덮어씌웠다. 파일이 바뀌는 순간, 서버는 1분이 지나자마자 스스로 악성 코드를 최고 관리자 권한으로 가동하게 된다.

팩트 매트릭스로 대조하는 포티SIEM 침해 위협의 실제 파급력

이번 취약점이 일반적인 소프트웨어 버그보다 훨씬 위험한 이유는 공격을 시작하는 문턱이 사실상 존재하지 않기 때문이다. 사용자 계정이나 패스워드가 전혀 필요 없는 ‘비인가(Unauthenticated)’ 상태에서 파고들 수 있고, 방화벽 외부로 해당 포트가 노출되어 있다면 마우스 클릭 몇 번과 패킷 한 줄로 침투가 완료된다.

보안 담당자가 사태의 심각성을 직관적으로 파악할 수 있도록, 이번 취약점과 최근 발생한 주요 보안 장비 침해 사고들의 실제 위협 지표를 객관적으로 정리했다.

분석 지표	포티SIEM 취약점 (CVE-2026-106173)	전형적인 웹 관리 콘솔 취약점	상용 인프라 API 인증 우회 결함
취약점 위험도(CVSS)	9.4 (치명적 위험)	7.5 – 8.8 (높음)	8.0 – 9.0 (매우 높음)
사전 인증 요구 여부	완전 불필요 (비인가 침투)	계정 탈취나 세션 필요	토큰 위조나 유효 세션 필요
공격 통신 포트	TCP 27918 (내부 통신용 gRPC)	TCP 443 / 8443 (웹 관리자 창구)	TCP 8080 / 443 (API 게이트웨이)
침투 성공 후 권한	시스템 최고 관리자(루트) 권한	웹 서비스 실행 계정 권한	제한된 API 운영자 권한
공격 코드(PoC) 공개	인터넷에 완전 공개됨	내부 보고서 공유 수준	제한적 공개 또는 미공개
장악 소요 시간	60초 미만 (자동 실행)	수동 명령 주입 후 즉각	다단계 권한 상승 필요 (수 분)

대부분의 기업은 웹 관리자 페이지(포트 443)만 외부 차단 목록에 넣어두면 안전하다고 착각한다. 하지만 내부 분산 처리를 위해 사용하는 백엔드 통신 포트인 27918번이 외부 인터넷에 열려 있는 경우가 적지 않다. 공격 코드가 인터넷에 공개된 상태에서는 전 세계를 뒤지는 자동화 스캔 로봇이 단 몇 시간 만에 취약한 장비를 찾아내 집어삼킬 수 있다.

보안 운영 인프라 붕괴가 기업 비즈니스에 가하는 삼중 충격

보안 관제 장비가 뚫렸다는 것은 단순한 서버 한 대의 고장으로 끝나지 않는다. 관제 센터의 도구가 마비되는 순간, 회사의 정보 보호 체계는 눈먼 장님이 된다. 현장 실무진과 IT 운영팀이 마주하게 될 실제 충격은 세 갈래로 나뉜다.

운영 비용 폭증과 인프라 전면 폐기 위기

보안 관제 서버에 해커가 침입해 최고 권한을 쥐었다면, 해당 장비에 저장된 모든 데이터와 설정 파일은 더 이상 신뢰할 수 없다. 백도어가 어디에 숨겨졌는지 일일이 확인하는 작업보다 장비를 공장 초기화하고 백업본으로 새로 세팅하는 편이 빠르다. 외부 전문 보안 감사업체를 투입해 포렌식 조사를 진행하는 비용, 시스템 정지로 인한 대체 인력 투입 비용은 순식간에 수천만 원에서 수억 원대 지출로 불어난다.

보안 공백으로 인한 침해 탐지 지연 시간 증가

포티SIEM은 사내 수천 대의 PC, 서버, 스위치, 방화벽 로그를 실시간으로 받아 분석한다. 이 장비가 공격자의 손에 넘어가면, 침입자는 가장 먼저 자신의 흔적을 지우거나 특정 IP 대역에서 발생하는 경고 알람을 무음 처리한다. 결과적으로 다른 핵심 데이터베이스나 고객 정보 저장소로 은밀하게 침투하는 횡적 이동(Lateral Movement)을 감지하는 평균 소요 시간(Lead Time)이 평소 수 분 단위에서 수십 일 단위로 길어지게 된다.

전사 공급망 신뢰 붕괴와 규제 과징금 리스크

개인정보보호법과 전산망 안전 기준을 적용받는 기업이라면, 보안 관제 장비의 탈취는 즉각적인 규제 기관 신고 대상이다. 관제 시스템 내부에는 회사 네트워크 토폴로지, 내부 사설 IP 주소 목록, 각 서버의 취약점 데이터가 집약되어 있다. 이 정보가 다크웹으로 유출될 경우, 기업과 연계된 파트너사나 고객사 전산망까지 도미노처럼 연쇄 공격 위험에 노출되며, 거액의 과징금과 손해배상 소송을 피하기 어렵다.

단일 장비 의존도를 낮추는 인프라 관측 다각화 대안

이번 사태는 특정 보안 벤더의 어플라이언스 장비 하나에 회사의 모든 모니터링을 전적으로 맡겼을 때 생기는 구조적 위험을 여실히 보여준다. 장비 소프트웨어 자체의 버그 하나로 전체 관제망이 무너지는 사태를 막으려면, 관제 데이터를 수집하고 감시하는 통로를 여러 겹으로 분산해야 한다.

선도 기업들은 하드웨어 기반 SIEM의 취약점을 보완하기 위해 클라우드 기반 서비스형 소프트웨어(SaaS) 인프라 관측 도구를 교차 배치하는 방식을 널리 쓰고 있다. 예를 들어 서버의 프로세스 생성 이력과 네트워크 포트 상태를 독립적으로 감시하는 Datadog 같은 모니터링 도구를 함께 운영하면, 설령 내부 스크립트 파일이 조작되더라도 즉각적인 경고를 받아 침해 확산을 조기에 차단할 수 있다. 하드웨어 장비 내부의 스케줄러가 변조되어 평소와 다른 자식 프로세스를 띄우는 순간, 독립된 관측망이 이를 감지해 침입자의 다음 행동을 묶어버리는 원리다.

보안 실무진이 당장 실행해야 할 3단계 긴급 방어선

개념 검증 공격 코드가 세상에 풀린 이상, 망설일 시간이 없다. 포티SIEM을 전산망에서 운영 중인 IT 및 보안 조직은 즉시 다음의 3단계 방어 절차에 돌입해야 한다.

1차 방어선: 네트워크 경계 긴급 격리

가장 빠르고 확실한 임시 조치는 통신 통로를 막는 일이다. 지금 즉시 전사 방화벽과 접근 제어 목록(ACL)을 확인하여, 외부 공인 인터넷에서 포티SIEM 장비의 TCP 포트 27918번으로 들어오는 모든 연결 요청을 거부(Deny)해야 한다. 해당 포트는 내부 인프라 통신용이므로 외부 인터넷에 열려 있을 이유가 전혀 없다. 또한 내부 서브넷 간 통신이라 하더라도 오직 허가된 수집 장비의 IP 주소만 접근할 수 있도록 화이트리스트 규칙을 엄격하게 적용해야 한다.

2차 방어선: 제조사 보안 패치 즉시 적용

포티넷이 결함을 해결하여 공식 배포한 최신 보안 패치를 지체 없이 장비에 적용해야 한다. 이번 업데이트는 사용자 입력값(query-id)에 포함된 널 바이트와 경로 조작 기호를 완벽하게 검증하고 걸러내는 패치가 포함되어 있다. 서비스 중단 우려로 인해 패치를 미루는 것은 공격자에게 침투 통로를 계속 열어두는 것과 같다. 사전 승인 절차를 간소화하고 야간 긴급 점검 창구를 열어 당일 중으로 패치를 끝내야 한다.

3차 방어선: 시스템 무결성 전수 조사 및 침해 흔적 색출

패치 작업을 끝마쳤더라도, 이미 해커가 다녀갔을 가능성을 배제할 수 없다. 시스템 내부 점검 스크립트 파일(/opt/charting/redishb.sh)의 최근 수정 일시와 파일 해시값을 확인해야 한다. 해당 파일 내부에 평소와 다른 수상한 쉘 명령어나 외부 통신 코드가 추가되어 있는지 눈으로 직접 대조하라. 만약 파일이 오염된 흔적이 발견되었다면, 장비를 즉각 네트워크에서 물리적으로 분리하고 백업 복구와 전사 침해 조사를 병행해야 한다.