Ivanti Connect Secure 로컬 권한 상승 취약점 (CVE-2026-111357) 보안 권고
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTIvanti Connect Secure 22.8R2.4 및 이전 버전
로컬 사용자가 DSCache 설정 데이터를 조작하여 root 권한 획득 및 시스템 완전 장악 가능
제조사 제공 최신 보안 패치 적용 및 무결성 검사(ICT) 수행
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
PATCH & WORKAROUND- 패치 적용: Ivanti Success Portal에서 제공하는 최신 보안 업데이트(22.8R2.5 이상)를 즉시 적용하십시오.
- 무결성 검증: Ivanti Integrity Checker Tool(ICT)을 실행하여 시스템 파일의 변조 여부를 확인하십시오.
- 접근 제어: 불필요한 로컬 계정을 삭제하고 SSH 등 원격 관리 인터페이스에 대한 접근을 엄격히 제한하십시오.
# Ivanti ICT 실행 예시 (관리자 콘솔)
/home/bin/check_integrity.sh반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다
공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.
취약점 발생 원리 및 공격 메커니즘
Ivanti Connect Secure의 dsinvoked 브로커 프로세스가 DSCache 구성 데이터를 처리하는 과정에서 신뢰 경계를 제대로 검증하지 못하는 결함(CWE-829)이 발견되었습니다. 공격자가 낮은 수준의 로컬 쉘 권한을 확보한 상태라면, 악의적으로 조작된 구성 데이터를 주입하여 시스템 최상위 권한인 root로 권한을 상승시킬 수 있습니다. 이 취약점은 2026년 10월 실제 공격(In-the-wild)에 악용된 사례가 확인되었으며, CISA KEV 목록에 등재될 만큼 위험도가 높습니다. 특히 EPSS 점수가 0.94에 달해 공격 시도가 매우 빈번할 것으로 예상됩니다.
공식 보안 권고문 및 참조 링크
Ivanti Connect Secure 22.8R2.4 mishandles the manner in which the dsinvoked broker trusts DSCache configuration data, leading to privilege escalation to root, as exploited in the wild in October 2026.
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.