CVE 데이터베이스CVE-2026-21525

최종 갱신 2026-06-17English Advisory →

CVE-2026-215256.2/MEDIUMCISA KEV 등재CWE-476

Windows 원격 액세스 연결 관리자(RasMan) Null 포인터 역참조 로컬 서비스 거부(DoS) 취약점 (CVE-2026-21525) 분석 및 대응 가이드

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

microsoft

대상 컴포넌트 / 패키지

windows, windows_server

권고문 발행일

2026-02-10

CVSS v3.1

6.2

MEDIUM

30일 악용확률

5.0%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Windows Remote Access Connection Manager(RasMan) 서비스를 사용하는 Windows 및 Windows Server 운영체제 전반.

파급 효과

로컬 권한이 없는 공격자가 RasMan 서비스의 Null 포인터 역참조를 유발하여 시스템을 크래시하거나 원격 연결 서비스를 마비시키는 로컬 서비스 거부(DoS) 상태를 초래할 수 있습니다.

권장 조치

Microsoft 공식 누적 업데이트(LCU)를 즉시 적용하고, 패치 적용 전까지는 불필요한 RasMan 서비스를 비활성화하거나 접근을 제한하십시오.

영향받는 제품 및 버전 범위

Windows Remote Access Connection Manager(RasMan) 서비스를 활성화하여 사용하는 모든 Windows 클라이언트 및 Windows Server 운영체제 버전이 영향을 받습니다.

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Microsoft에서 제공하는 최신 누적 업데이트(LCU)를 적용하는 것이 가장 확실한 해결책입니다. Windows Update 에이전트를 통해 패치를 강제 적용하려면 PowerShell에서 아래 명령어를 실행하십시오.

powershell

# Windows Update 모듈 설치 및 업데이트 확인/설치
Install-Module PSWindowsUpdate -Force -SkipPublisherCheck
Get-WindowsUpdate -AcceptAll -Install -AutoReboot

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치 적용이 불가능한 환경에서는 VPN 및 원격 연결 기능이 불필요한 경우 RasMan 서비스를 비활성화하여 공격 표면을 제거할 수 있습니다.

powershell

# Remote Access Connection Manager(RasMan) 서비스 중지 및 비활성화
Stop-Service -Name 'RasMan' -Force
Set-Service -Name 'RasMan' -StartupType Disabled

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

시스템 이벤트 로그에서 RasMan 서비스의 비정상적인 종료 기록(Event ID 7034 또는 1000 Application Error)을 모니터링하여 침해 시도를 탐지할 수 있습니다.

powershell

# RasMan 서비스 관련 비정상 종료 이벤트 로그 검색
Get-EventLog -LogName System -Source 'Service Control Manager' | Where-Object { $_.EventID -eq 7034 -and $_.Message -like '*Remote Access Connection Manager*' } | Select-Object TimeGenerated, EventID, Message

# Application Error 로그에서 rasman.dll 크래시 여부 확인
Get-EventLog -LogName Application -EntryType Error | Where-Object { $_.Message -like '*rasman.dll*' } | Select-Object TimeGenerated, Message

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

CISA KEV에 등재되어 실제 악용이 확인된 취약점이므로, 즉시 최신 Windows 누적 보안 패치를 적용하거나 불필요한 RasMan 서비스를 비활성화하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2026-21525)은 Windows의 핵심 네트워크 구성 요소인 원격 액세스 연결 관리자(Remote Access Connection Manager, 이하 RasMan) 서비스에서 발생하는 Null 포인터 역참조(Null Pointer Dereference, CWE-476) 취약점입니다. RasMan 서비스는 가상 사설망(VPN) 및 기타 원격 연결을 관리하는 역할을 수행합니다. 특정 API 호출이나 조작된 로컬 IPC(Inter-Process Communication) 요청을 처리하는 과정에서, 서비스 내부 포인터 변수가 유효한 메모리 주소를 가리키고 있는지 검증하지 않아 Null 포인터 역참조가 발생하며, 이로 인해 서비스 프로세스(rasman.dll 또는 svchost.exe 인스턴스)가 비정상적으로 종료됩니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 대상 시스템에 대한 로컬 접근 권한(인증 여부 무관 또는 낮은 권한)을 가진 상태에서 취약점을 악용할 수 있습니다. 공격 메커니즘은 다음과 같이 진행됩니다:

공격자는 로컬 시스템에서 RasMan 서비스가 노출하는 RPC 인터페이스 또는 IPC 채널을 식별합니다.
초기화되지 않았거나 의도적으로 누락된 매개변수를 포함하는 특수하게 조작된 요청을 RasMan 서비스에 전송합니다.
서비스 내부의 취약한 함수가 전달받은 인자 값을 검증 없이 참조하려고 시도할 때, Null 포인터 역참조가 발생하여 예외 처리가 되지 않은 채 프로세스가 강제 종료됩니다.

이 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 있어, 실제 공격자들에 의해 활발히 악용되고 있음이 확인되었습니다.

3. 비즈니스 및 인프라 파급 영향

RasMan 서비스가 중단되면 기업 인프라 내의 VPN 연결, 원격 데스크톱 게이트웨이 연결 및 기타 원격 액세스 기능이 즉시 마비됩니다. 특히 원격 근무 환경이나 지사 간 연결을 위해 Windows 기반 VPN 서버를 운영하는 조직의 경우, 비즈니스 연속성에 심각한 타격을 입을 수 있습니다. 비록 로컬 권한 상승(LPE)이나 원격 코드 실행(RCE)으로 직접 이어지지는 않으나, 시스템의 가용성을 완전히 상실하게 만드는 DoS 공격 도구로 악용되어 내부 인프라의 신뢰성을 저하시킵니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Null pointer dereference in Windows Remote Access Connection Manager allows an unauthorized attacker to deny service locally.

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-21525

출처: secure@microsoft.com · Vendor Advisory

https://www.vicarius.io/vsociety/posts/cve-2026-21525-detection-script-dos-vulnerability-in-windows-remote-access-connection-manager

출처: af854a3a-2127-422b-91ae-364da2661108 · Third Party Advisory

https://www.vicarius.io/vsociety/posts/cve-2026-21525-mitigation-script-dos-vulnerability-in-windows-remote-access-connection-manager

출처: af854a3a-2127-422b-91ae-364da2661108 · Mitigation, Third Party Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-21525

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

자주 묻는 실무 질문 (FAQ — CVE-2026-21525)

FAQ

Q1. CVE-2026-21525 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2026-21525의 기본 점수는 CVSS 6.2 (MEDIUM)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 5.0%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2026-21525에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 microsoft이며, 대상 컴포넌트는 windows, windows_server입니다. 상세 영향 범위: Windows Remote Access Connection Manager(RasMan) 서비스를 활성화하여 사용하는 모든 Windows 클라이언트 및 Windows Server 운영체제 버전이 영향을 받습니다.

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] Microsoft 공식 누적 업데이트(LCU)를 즉시 적용하고, 패치 적용 전까지는 불필요한 RasMan 서비스를 비활성화하거나 접근을 제한하십시오. 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동