CVE 데이터베이스CVE-2022-26501

최종 갱신 2026-06-17English Advisory →

CVE-2022-265019.8/CRITICALCISA KEV 등재CWE-306CWE-306

Veeam Backup & Replication 원격 코드 실행(RCE) 취약점 분석 및 대응 가이드 (CVE-2022-26501)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

veeam

대상 컴포넌트 / 패키지

backup_and_replication

권고문 발행일

2022-03-17

CVSS v3.1

9.8

CRITICAL

30일 악용확률

4.1%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Veeam Backup & Replication 10.x 및 11.x 버전

파급 효과

인증되지 않은 원격 공격자가 시스템 권한으로 임의의 코드를 실행하여 백업 데이터 탈취 및 인프라 장악 가능

권장 조치

제조사 공식 패치(KB4288)를 즉시 적용하거나 취약한 포트 및 서비스를 제한하는 임시 완화 조치 수행

영향받는 제품 및 버전 범위

Veeam Backup & Replication 10.x 및 11.x 전체 버전 (공식 패치 미적용 대상)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Veeam 공식 권고안(KB4288)에 따라 사용 중인 버전에 맞는 누적 패치 또는 상위 버전(Veeam Backup & Replication 11a 빌드 11.0.1.1261 P20220302 이상 또는 12)으로 업그레이드해야 합니다.

PowerShell을 사용하여 현재 설치된 Veeam 서비스의 버전을 확인하고 패치 적용 상태를 점검합니다:

powershell

# Veeam Backup Service 버전 확인
Get-WmiObject -Class Win32_Product | Where-Object { $_.Name -like '*Veeam Backup & Replication*' } | Select-Object Name, Version

# Veeam 관련 서비스 상태 확인
Get-Service -Name 'Veeam*' | Select-Object Name, Status, StartType

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치가 어려운 경우, 방화벽을 통해 Veeam 백업 서버로의 불필요한 외부 접근을 차단해야 합니다. 특히 외부망(Internet)에서 백업 서버로 직접 연결되는 포트를 차단하고, 내부 관리용 IP 대역에서만 접근할 수 있도록 제한합니다.

Windows 고급 방화벽 규칙을 사용하여 외부로부터의 Veeam 포트 접근을 차단하는 스크립트 예시입니다:

powershell

# 외부 대역에서 Veeam 배포 및 관리 포트(예: TCP 9392, 9393)로의 인바운드 연결 차단
New-NetFirewallRule -DisplayName 'Block_Veeam_Unauth_Access' `
    -Direction Inbound `
    -Action Block `
    -Protocol TCP `
    -LocalPort 9392, 9393 `
    -RemoteAddress Internet

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

취약점 악용 시도가 있었는지 확인하기 위해 Veeam 로그 디렉터리 내에서 비정상적인 원격 호출 흔적이나 에러 로그를 모니터링해야 합니다.

powershell

# Veeam 로그 디렉터리에서 예외 발생 및 비정상적인 연결 시도 검색
$VeeamLogPath = 'C:\ProgramData\Veeam\Backup'
if (Test-Path $VeeamLogPath) {
    Get-ChildItem -Path $VeeamLogPath -Filter '*.log' -Recurse | `
    Select-String -Pattern 'unauthorized', 'access denied', 'invalid connection', 'exception' | `
    Select-Object Path, LineNumber, Line -First 50
} else {
    Write-Host 'Veeam log directory not found.' -ForegroundColor Yellow
}

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

SentinelOne Singularity AI EDR

본 취약점은 실제 공격에 악용되고 있는 고위험 취약점이므로, 즉시 Veeam KB4288 패치를 적용하거나 방화벽을 통해 백업 서버의 네트워크 노출을 최소화하십시오.

패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요

Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.

MITRE ATT&CK 100% 탐지 · 1클릭 자동 롤백

차세대 AI EDR 솔루션 상세 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2022-26501)은 Veeam Backup & Replication 솔루션의 특정 내부 서비스에서 발생하는 부적절한 접근 제어(Incorrect Access Control) 및 중요 기능에 대한 인증 누락(CWE-306)으로 인해 발생합니다. Veeam 배포 환경에서 원격 통신을 담당하는 서비스가 적절한 사용자 인증 및 권한 검증 절차 없이 외부 요청을 수락하도록 설계되어 있어, 공격자가 인증 단계를 완전히 우회할 수 있는 구조적 결함을 가지고 있습니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 Veeam 서비스가 수신 대기 중인 특정 TCP 포트(기본적으로 TCP 9392, 9393 등)로 조작된 RPC(Remote Procedure Call) 또는 API 요청을 전송합니다. 취약한 서비스는 요청자의 신원을 검증하지 않고(CWE-306) 내부 API 엔드포인트에 대한 접근을 허용합니다. 이를 통해 공격자는 백업 에이전트 배포 및 관리 기능을 악용하여 대상 시스템에서 SYSTEM 권한으로 임의의 OS 명령어를 실행할 수 있게 됩니다. 이 과정에서 어떠한 사용자 상호작용(UI)이나 사전 인증 정보(PR:N)도 요구되지 않습니다.

3. 비즈니스 및 인프라 파급 영향

Veeam Backup & Replication은 기업의 핵심 자산인 백업 데이터를 관리하는 중앙 통제소 역할을 합니다. 본 취약점이 익스플로잇될 경우, 공격자는 백업 저장소에 보관된 모든 가상 머신(VM) 이미지, 데이터베이스, 시스템 스냅샷을 무단으로 탈취하거나 영구적으로 삭제할 수 있습니다. 특히 랜섬웨어 공격 그룹이 이 취약점을 악용하여 백업본을 먼저 무력화한 후 본 시스템을 암호화하는 시나리오가 다수 보고되었으며, 이는 기업의 비즈니스 연속성에 치명적인 타격을 입힙니다. CISA KEV(Known Exploited Vulnerabilities)에 등재된 만큼 실제 야생(In-the-Wild)에서 활발히 악용되고 있어 신속한 조치가 필수적입니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Veeam Backup & Replication 10.x and 11.x has Incorrect Access Control (issue 1 of 2).

https://veeam.com

출처: cve@mitre.org · Vendor Advisory

https://www.veeam.com/kb4288

출처: cve@mitre.org · Vendor Advisory

https://veeam.com

출처: af854a3a-2127-422b-91ae-364da2661108 · Vendor Advisory

https://www.veeam.com/kb4288

출처: af854a3a-2127-422b-91ae-364da2661108 · Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-26501

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2022-26501)

FAQ

Q1. CVE-2022-26501 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2022-26501의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 4.1%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.