귀사의 사업장에서 SonicWall 방화벽을 사용하거나, 시스템의 패치 적용과 백업을 위해 원격으로 로그인하는 관리형 서비스 제공업체(MSP)에 IT를 외주로 맡기고 있다면, 이번 주에 전화해야 할 별개의 이유가 두 가지 있습니다. 둘 다 아무도 읽지 않는 공급업체 게시판에 실린 이론적인 위험이 아니라, 공격자들이 지금 당장 악용하고 있는 취약점과 관련되어 있습니다. 어느 경우에도 보안 전문가가 될 필요는 없습니다. 구체적인 질문을 하고, 안심시키는 말이 아니라 날짜, 버전 번호, 확인 결과 같은 구체적인 답변을 요구해야 합니다.
각 문제에서 무슨 일이 일어나고 있는지와, 복사해 붙여넣어 네트워크를 관리하는 담당자에게 보낼 수 있는 체크리스트를 소개하겠습니다.
문제 1: 귀사의 SonicWall 방화벽(CVE-2026-15409 및 CVE-2026-15410)
SonicWall은 2026년 7월 14일 두 취약점을 공개하고 패치를 배포했습니다. 하지만 회사가 자체적으로 제시한 타임라인에 따르면, 공개되기 약 3주 전부터 공격자들이 이미 이를 악용하고 있었습니다. 따라서 해당 기간에 인터넷에 노출되어 있던 장비의 경우, "지금 패치됨"과 "지금 안전함"이 자동으로 같은 의미가 되는 것은 아닙니다.
이 취약점 연쇄 공격과 관련해 가장 일관되게 언급되는 위협 행위자는 랜섬웨어 서비스형 운영 조직인 INC입니다. Rapid7의 연구원들은 현재 INC를 전 세계적으로 가장 활발한 동종 조직 중 하나로 설명합니다(다만 이 결함을 이용한 모든 공격이 구체적으로 INC와 확정적으로 연결된 것은 아니며, 다른 기회주의적 공격자들도 거의 확실히 연루되어 있습니다). 별도로 보안 업체 Huntress는 이틀이 채 지나기 전에 SonicWall 고객 30곳이 침해된 빠르게 진행된 공격 확산을 보고했습니다. 이는 서서히 진행되는 위험이 아닙니다.
여기에는 관련된 과거 사례도 있습니다. SonicWall은 이전에 국가 지원을 받는 조직이 클라우드 백업 기능을 사용하는 모든 SonicWall 고객의 방화벽 구성 파일을 탈취한 사건을 공개했습니다. 탈취된 구성 파일에는 로컬 계정 자격 증명과 VPN 설정이 포함될 수 있습니다. 해당 사건이 수습되기 전에 방화벽 구성이 SonicWall의 클라우드 서비스에 백업된 적이 있다면, 현재 결함에 패치를 적용한다고 해서 이미 노출된 정보가 되돌아오는 것은 아닙니다. 해당 구성에 있던 자격 증명은 여전히 교체해야 할 수 있습니다.
IT 제공업체 또는 MSP에 보낼 체크리스트:
- "현재 어떤 SonicWall 모델과 펌웨어 버전을 사용하고 있으며, 해당 버전이 CVE-2026-15409와 CVE-2026-15410을 해결합니까?" (SonicWall 자체 권고문을 기준으로 확인해 달라고 요청하세요. 버전 번호 없이 "최신 버전을 사용 중"이라는 답변은 받아들이지 마세요.)
- "패치를 적용한 날짜가 언제입니까?" 2026년 7월 14일 이후였다면, 그 이전 몇 주 동안의 로그를 확인해 무단 접근 징후가 있었는지 살펴보도록 요청하세요. 예상하지 못한 관리자 로그인, 새로 생성된 로컬 계정, 낯선 IP 주소에서의 SSLVPN 세션 등이 해당합니다.
- "그 기간에 SSLVPN 또는 원격 액세스 포털이 인터넷에 노출되어 있었습니까?" 그렇다면 패치만 적용하지 말고, 해당 포털을 통해 인증하는 모든 계정에 대해 강제 비밀번호 재설정을 요청하세요.
- "방화벽 구성이 SonicWall의 클라우드 서비스에 백업된 적이 있습니까? 그렇다면 그 구성 파일에 포함된 자격 증명을 이후에 교체했습니까?"
- "방화벽을 통한 모든 원격 액세스 계정에 다중 인증이 활성화되어 있습니까?" 그렇지 않다면 이번 주에 활성화하도록 요청하세요.
문제 2: MSP의 원격 관리 도구(N-able N-central의 CVE-2026-18577)
이번 문제는 귀사의 장비가 아니라는 점에서 다릅니다. 이는 IT 제공업체가 하나의 중앙 콘솔에서 수십 또는 수백 곳의 고객 기업을 관리하는 데 사용할 수 있는 도구이며, 그중에는 귀사도 포함될 수 있습니다. N-able N-central은 그러한 플랫폼 중 하나입니다. CISA(미국 사이버보안·인프라 보안국)는 2026년 7월 31일부터 활발한 악용이 이루어지고 있음을 확인한 뒤, 심각도가 10점 만점에 8.2점인 이 플랫폼의 취약점 CVE-2026-18577을 알려진 악용 취약점 목록에 추가했습니다. 이 결함으로 공격자가 N-central 콘솔 자체에 대한 완전한 관리자 권한을 얻을 수 있는 것으로 알려졌습니다.
이는 공격자가 그곳에서 할 수 있는 일 때문에 중요합니다. Huntress는 성공한 공격이 침해된 콘솔에서 이를 통해 관리되는 엔드포인트로 이동했다고 보고했습니다. 즉 공격자가 귀사를 직접 표적으로 삼지 않더라도 MSP의 도구가 침해되면 귀사의 시스템도 침해될 수 있다는 뜻입니다. Huntress는 또한 공격자들이 침해된 시스템에 Cloudflare 터널을 생성한 사실을 발견했습니다. 이는 방화벽에서 일반적인 웹 트래픽처럼 보일 수 있는 지속적이고 암호화된 재접속 경로를 제공하는 기법입니다.
귀사의 특정 제공업체가 N-central을 사용하는지 알 필요는 없습니다. 질문해야 하며, 단 하나의 제품명에만 국한하지 말고 더 넓게 물어봐야 합니다.
IT 제공업체 또는 MSP에 보낼 체크리스트:
- "당사 시스템을 관리하는 데 N-able N-central 또는 다른 N-able 제품을 사용합니까?" 그렇다면 이렇게 물으세요. "CVE-2026-18577에 대응하는 패치가 적용되어 있습니까? 적용된 날짜는 언제입니까?"
- "2026년 7월 31일 이후 관리 콘솔의 관리자 계정 활동과 액세스 로그를 감사하여 설명할 수 없는 항목이 있는지 확인했습니까?"
- "특히 Cloudflare 터널 프로세스(때때로 'cloudflared'로 표시됨)나 귀사가 설정하지 않은 터널 도메인 등 예상하지 못한 외부 연결이 있는지 당사 시스템을 구체적으로 확인했습니까?"
- "귀사 팀의 작업으로 설명할 수 없는 새로운 로컬 관리자 계정, 예약 작업 또는 원격 관리 정책이 당사 시스템에 배포된 적이 있습니까?"
- "N-central을 사용하지 않는다면 대신 어떤 원격 관리 도구를 사용하며, 최근 해당 도구의 취약점이 CISA의 알려진 악용 취약점 목록에 추가된 적이 있습니까?"
답변을 받은 후 할 일
좋은 IT 제공업체라면 날짜와 구체적인 내용을 포함해, 대개 하루 안에 이러한 질문에 답할 것입니다. 이미 해당 정보를 알고 있거나 로그에서 신속하게 추출할 수 있어야 하기 때문입니다. "문제없이 관리하고 있습니다", "시스템은 안전합니다"와 같이 날짜를 제시하지 않는 모호한 답변도 그 자체로 유용한 정보입니다. 이 대화를 기한을 명시한 서면으로 다시 진행해야 한다는 뜻이기 때문입니다.
MSP 없이 SonicWall을 직접 관리한다면 위 체크리스트를 그대로 직접 적용하면 됩니다. 관리 콘솔에 직접 로그인해 펌웨어 버전을 확인하고, 두 CVE를 모두 해결하는 버전에 대한 SonicWall 권고 페이지를 확인하세요.
이러한 결함 중 어느 것도 공급업체를 교체하거나 서비스 제공업체를 해고해야 할 정도는 아닙니다. 필요한 것은 해당 특정 보안 공백이 해소되었고, 공백이 열려 있던 동안 그 틈을 통해 아무것도 침투하지 않았다는 확인입니다. 질문을 하고 날짜를 확인한 뒤, 다음에 공급업체가 무언가가 "actively exploited"되고 있다고 공개할 때 다시 물어볼 수 있도록 달력에 알림을 설정하세요. 그런 일은 다시 발생할 것입니다.
