사내 문서 서버와 본사 통신망 장악하는 치명적 침투로: CISA 긴급 경보 발령의 전말

미국 사이버안보·인프라보안국(CISA)이 실제 공격 집단이 무기로 악용하고 있는 치명적인 보안 취약점 2종을 ‘알려진 악용 취약점(KEV)’ 목록에 추가했다. 이번 경보의 핵심 표적은 오픈소스 문서 협업 도구인 ‘콜라보라 온라인 내장 코드 서버(Collabora Online Built-in CODE Server)‘와 기업 광역 통신망을 총괄 제어하는 ‘아리스타 벨로클라우드 오케스트레이터(Arista VeloCloud Orchestrator, VCO)‘다.

사내 파일 저장소와 지사 간 통신망을 연결하는 이 두 소프트웨어는 기업 업무의 혈관과 같다. 해커가 이 통로를 뚫으면 단순히 파일을 엿보는 수준을 넘어, 회사 내부망 전체를 자기 집 안방처럼 드나들 수 있는 뒷문(백도어)을 심게 된다. 실제로 이번 공격은 서버 내부에 침투해 비밀번호 보관함과 가상자산 지갑을 쓸어 담거나, 가장 낮은 수준의 권한만으로 네트워크 관제탑을 접수하는 고도화된 수법을 쓰고 있다.

넥스트클라우드와 SD-WAN 관제탑을 겨냥한 취약점 2종의 실제 위험도 비교

이번에 CISA가 긴급 조치 대상으로 지목한 취약점은 각각 CVE-2026-110447(콜라보라 온라인)과 CVE-2026-114625(아리스타 벨로클라우드)다. 두 취약점 모두 해커가 원격에서 네트워크 침투를 개시할 수 있다는 공통점이 있지만, 내부 침투 경로와 요구 권한에서 뚜렷한 차이를 보인다.

콜라보라 온라인의 취약점은 주로 넥스트클라우드(Nextcloud)와 결합해 사용하는 환경에서 악용되었다. 공격자들은 이 버그를 이용해 서버 내부에 웹셸(Web Shell)이라는 불법 원격 조종 프로그램을 설치했다. 웹셸이 한 번 깔리면 해커는 관리자 허가 없이 서버 내부 파일을 뒤져 임직원 로그인 정보, 패스워드 관리자 데이터베이스, 암호화폐 지갑 등 환금성이 높은 알짜배기 자산을 가로챈다.

반면 아리스타 벨로클라우드 오케스트레이터의 취약점은 권한 상승을 노린다. 공격자가 벨로클라우드 웹 인터페이스에 접속할 수 있고 가장 낮은 등급인 ‘기업 읽기 전용(Enterprise Read Only)’ 계정 하나만 쥐고 있으면, 이를 관제탑 전체를 주무르는 최고 관리자 권한으로 승격시킬 수 있다. 아리스타는 이번 공격을 주도한 발신지로 일본에 위치한 IP 주소 2개를 확인했으나, 공격 배후 조직이나 피해를 본 구체적인 기업 수는 밝히지 않았다. 주목할 점은 벨로클라우드 제품군에서 실제 공격이 확인된 취약점이 2026년 7월 이후 벌써 3번째라는 사실이다. 앞서 7월에 보고된 CVE-2026-16812와 CVE-2026-93952 모두 보안 위험도 최고점인 CVSS 10.0 만점을 기록한 바 있다.

구분 항목	콜라보라 온라인 (CVE-2026-110447)	아리스타 벨로클라우드 (CVE-2026-114625)	벨로클라우드 선행 취약점 (CVE-2026-16812 / 93952)
대상 소프트웨어	내장 CODE 서버 (문서 편집 엔진)	VeloCloud Orchestrator (VCO)	VeloCloud Orchestrator (VCO)
취약점 유형	원격 코드 실행 및 웹셸 생성	인증 후 권한 상승 (Privilege Escalation)	무인증 원격 코드 실행 (RCE)
최소 공격 요건	웹 인터페이스 접근	네트워크 접근 + 읽기 전용(Read Only) 계정	네트워크 접근 (무인증 침투 가능)
실제 공격 피해	비밀번호 보관소·가상자산 지갑 탈취	관제 웹 콘솔 통제권 및 설정 변경 위험	네트워크 트래픽 완전 감청 및 통제
CVSS 위험 점수	치명적 위험 (Critical 추정)	치명적 위험 (Critical 추정)	10.0 만점 (최고 위험)
발견 시점	2026년 10월	2026년 10월	2026년 7월
CISA 조치 기한	2026년 10월 26일	2026년 10월 26일	기한 만료 (즉시 적용 완료 대상)

내부 자산 유출과 광역망 마비: 현장 운영팀이 직면한 3가지 실질적 위협

이번 취약점은 단순한 소프트웨어 오류가 아니다. 사내 업무 인프라와 외부 지사를 잇는 기간망이 동시에 뚫릴 수 있다는 뜻이다. 전산실과 보안 운영팀이 마주한 실질적 타격은 크게 세 가지로 요약된다.

비인가 웹셸이 유발하는 계정 유출과 2차 피해 비용

콜라보라 온라인 취약점을 통해 유입된 웹셸은 서버 내부의 파일 시스템을 속속들이 훑는다. 특히 개발자나 관리자가 테스트 목적으로 서버 구석에 방치해 둔 암호화폐 지갑 개인키, 텍스트 형태의 패스워드 모음 파일, 패스워드 관리 프로그램의 백업 데이터가 주요 표적이다.

만약 공격자가 이 정보를 쥐게 되면 사내 클라우드 계정이나 결제망까지 손쉽게 2차 침투를 감행할 수 있다. 보통 침해 사고가 발생했을 때 포렌식 조사와 외부 전문 감사에 투입되는 비용만 건당 수천만 원에서 수억 원에 달하며, 유출된 인증 정보를 전면 폐기하고 재발급하는 동안 통상 3–5일간의 업무 마비가 불가피하다.

읽기 권한 탈취가 부르는 본사 관제탑 통제권 상실

벨로클라우드 오케스트레이터는 본사와 수십 개 지사를 잇는 소프트웨어 정의 광역 네트워크(SD-WAN)의 두뇌다. 여기에는 수많은 지사의 라우터 설정, 암호화 터널 정보, 사내 전용 통신 규칙이 저장되어 있다.

이 취약점의 가장 위험한 점은 최하위 권한인 ‘읽기 전용’ 계정 하나만 있으면 관리자 권한을 빼앗을 수 있다는 사실이다. 퇴사자 계정이 제대로 정리되지 않았거나, 협력업체에 모니터링용으로 발급했던 저권한 계정의 비밀번호가 유출되는 순간 관제탑 전체가 해커 손에 넘어간다. 해커가 네트워크 라우팅 규칙을 바꿔 가짜 서버로 회사 트래픽을 빼돌리거나 지사 간 연결을 일제히 끊어버릴 경우, 제조 현장이나 물류 창고의 입출고 시스템이 일시에 멈춰 서게 된다.

반복되는 제로데이 공격으로 인한 네트워크 장비 신뢰도 추락

벨로클라우드는 지난 7월 CVSS 10.0 만점 취약점 2종이 연달아 터진 데 이어 10월에 또다시 실제 무기화된 취약점이 확인되었다. 통신 장비 펌웨어 패치는 일반 서버 소프트웨어 업데이트와 달리, 패치 적용 시 네트워크 단절이 수반되므로 작업 일정을 잡기가 매우 까다롭다.

짧은 기간 안에 세 번이나 긴급 패치 일정을 잡아야 하는 현장 엔지니어들의 피로도는 극에 달한다. 장비 신뢰도가 떨어지면 향후 인프라 확장 계약이나 클라우드 전환 계획 전반에 차질이 생기며, 패치 지연으로 인해 공격 노출 시간이 길어지는 악순환이 발생한다.

외부 노출 면을 줄이고 공격을 막아내는 안전망 설계

네트워크 장비와 업무 협업 서버는 24시간 외부에 열려 있는 경우가 많아 해커들의 단골 먹잇감이 된다. 피해를 최소화하고 있는 선도 기업들은 제품 자체의 패치에만 의존하지 않고, 인프라 앞단에 다중 방어벽을 세우는 방식을 택하고 있다.

첫째, 관리자 웹 콘솔을 공인 인터넷에서 완전히 숨기는 조치다. 아리스타 벨로클라우드 오케스트레이터 같은 중앙 통제 장비는 인터넷 검색 엔진에 노출되어서는 안 된다. 기업 내부 사내망이나 인가된 전용 VPN을 통해서만 관리자 페이지에 접속할 수 있도록 접속 경로를 좁혀두면, 설령 소프트웨어에 치명적인 권한 상승 버그가 있더라도 외부 해커가 해당 인터페이스 자체에 접근할 수 없어 1차 침투를 원천 차단할 수 있다.

둘째, 오픈소스 협업 서버의 격리 운영이다. 넥스트클라우드나 콜라보라 온라인처럼 파일 입출력과 문서 렌더링을 처리하는 서버는 컨테이너 가상화 환경에 가두어 운영하는 것이 안전하다. 문서 변환 엔진이 해킹당해 웹셸이 생성되더라도, 격리된 컨테이너 내부 권한만 가질 뿐 호스트 서버의 다른 파일 시스템이나 상위 네트워크 대역으로 넘어가지 못하도록 통신 경로를 잘라내는 방식이다.

동시에 인프라 모니터링 도구인 Datadog 등을 연동하여 웹 서버 내부에서 비정상적인 셸 스크립트가 생성되거나 외부 알 수 없는 일본 발신 IP와 통신하는 징후를 실시간 감시하는 구조를 갖추는 기업들이 늘고 있다.

실무 보안 리스크 완화 및 긴급 대응 3단계 방어선

미국 연방 민간 행정부 기관(FCEB)에 내려진 공식 패치 완료 시한은 2026년 10월 26일이다. CISA가 나흘 남짓의 짧은 시한을 제시했다는 것은 그만큼 현장에서의 악용 속도가 빠르다는 방증이다. 일반 기업의 보안 담당자 역시 아래 3단계 대응 절차를 즉시 가동해야 한다.

1차 방어선: 즉각적인 외부 노출 차단 및 공식 보안 패치 단행

모든 대응의 첫걸음은 제조사가 제공한 공식 패치를 시스템에 얹는 일이다. 2026년 10월 26일까지 기다릴 여유가 없다. 콜라보라 온라인 내장 코드 서버와 아리스타 벨로클라우드 오케스트레이터의 최신 버전 릴리스를 즉시 확인하고 긴급 점검 일정을 수립해야 한다.

만약 서비스 무중단 요건 때문에 당장 재부팅이나 패치가 불가능하다면, 오케스트레이터 웹 포털로 들어오는 방화벽 정책부터 손봐야 한다. 허가받은 관리자 IP 외에 모든 외부 공인 인터넷 대역에서의 웹 인터페이스 접속을 즉시 차단하라. 외부 노출 면만 닫아도 이번 취약점 악용 시도의 90% 이상을 현장에서 걸러낼 수 있다.

2차 방어선: 웹셸 생성 여부 및 악성 통신 흔적 전수 조사

패치를 마쳤다고 안심해서는 안 된다. 공격자가 이미 패치 적용 전에 취약점을 뚫고 들어와 백도어를 심어두었을 가능성을 열어두어야 한다.

넥스트클라우드 및 콜라보라 서버가 설치된 디렉터리를 대상으로 최근 일주일간 새롭게 생성되거나 수정된 파일이 있는지 전수 검사해야 한다. 특히 확장자가 php, sh, py 등으로 끝나는 의심스러운 웹셸 파일이 웹 루트 경로에 존재하는지 대조하라.

아울러 네트워크 방화벽 및 DNS 로그를 조회하여 아리스타가 공격 발신지로 특정한 일본 소재 의심 IP 대역과 비정상적인 데이터 전송을 주고받은 이력이 있는지 점검해야 한다.

3차 방어선: 사내 계정 권한 점검 및 다중 인증 전면 강제

벨로클라우드 취약점은 ‘읽기 전용’ 계정의 유출에서 출발한다. 사용하지 않는 휴면 계정, 퇴사자 계정, 유지보수 업체의 공용 모니터링 계정을 즉각 비활성화해야 한다.

또한 모든 관리자 포털과 내부 시스템 접근 계정에 2단계 인증(MFA)을 필수 적용하라. 비밀번호가 외부로 유출되더라도 일회용 인증 번호 없이는 로그인이 불가능하게 만들어야만, 저권한 계정을 발판 삼아 권한을 올리려는 공격자의 침투 사슬을 끊어낼 수 있다.