Ivanti Connect Secure (ICS) 인증 우회 및 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-104935)
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTIvanti Connect Secure (ICS) 25.1.3.0 미만 버전 (단, 22.7R2.14 이하 구형 버전은 제외)
인증되지 않은 원격 공격자가 신뢰할 수 있는 식별자를 위조(Spoofing)하여 인증을 우회하고, 시스템 권한으로 임의 명령을 실행하여 내부망 침투 가능
제조사 공식 패치가 적용된 25.1.3.0 이상 버전으로 즉시 업데이트하고, 침해 지표(IoC)를 활용한 시스템 전수 조사 수행
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
PATCH & WORKAROUND1. 보안 패치 적용
제조사에서 제공하는 최신 펌웨어로 즉시 업그레이드하십시오.
- Ivanti Connect Secure 25.1.3.0 또는 그 이상의 최신 릴리스 적용
2. 임시 완화 조치 (패치 불가 시)
패치 적용 전까지 다음 조치를 검토하십시오.
- 외부 인터넷에서 관리자 인터페이스(Admin UI)에 직접 접근하지 못하도록 ACL(Access Control List) 강화
- 모든 계정에 대해 다요소 인증(MFA) 필수 적용
- VPN 로그에서 비정상적인 세션 생성 및
/api/v1/configuration등 민감한 엔드포인트에 대한 미인증 접근 시도 모니터링
3. 침해 사고 조사
이미 악용되었을 가능성을 배제할 수 없으므로, Ivanti에서 제공하는 'Integrity Checker Tool(ICT)'을 실행하여 시스템 파일 변조 여부를 확인하십시오.
반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다
공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.
취약점 발생 원리 및 공격 메커니즘
본 취약점(CVE-2026-104935)은 Ivanti Connect Secure의 인증 로직에서 발생하는 CWE-290(Authentication Bypass by Spoofing) 결함입니다. 공격자는 특수하게 조작된 요청을 통해 인증된 사용자로 오인하게 만들어 보안 경계를 무력화할 수 있습니다. 특히 이 취약점은 단순 인증 우회에 그치지 않고 원격 코드 실행(RCE)으로 이어질 수 있는 고위험군 취약점입니다. CISA KEV(Known Exploited Vulnerabilities)에 등재되었으며, EPSS 점수가 0.94에 달해 실제 공격 현장에서 매우 높은 빈도로 악용되고 있음을 시사합니다. 공격자는 이를 통해 VPN 게이트웨이를 장악하고 내부 네트워크로의 횡적 이동(Lateral Movement)을 시도할 수 있습니다.
공식 보안 권고문 및 참조 링크
Authentication bypass by spoofing in ICS before version 25.1.3.0 allows a remote unauthenticated attacker to execute arbitrary commands. This does not impact ICS version 22.7R2.14 or prior.
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.