Fortinet FortiClientEMS SQL 인젝션 기반 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-21643)

1. 공식 보안 패치 적용

Fortinet 공식 권고(FG-IR-25-1142)를 참조하여 취약점이 해결된 최신 안전 버전으로 즉시 업그레이드를 수행하십시오.

2. 임시 완화 조치 (패치 적용이 불가능한 경우)

• 네트워크 접근 제어 (ACL): 외부 인터넷에서 FortiClientEMS 관리 콘솔 및 API 포트(기본 TCP 8443 등)로 직접 접근하지 못하도록 방화벽 규칙을 설정하십시오. 신뢰할 수 있는 관리자 IP 대역 또는 VPN을 통해서만 접근을 허용하십시오.
• WAF(웹 애플리케이션 방화벽) 규칙 적용: HTTP 요청 페이로드 내에 SQL 인젝션 패턴(예: ', --, UNION, SELECT, xp_cmdshell 등)이 포함되어 있는지 탐지하고 차단하는 시그니처를 활성화하십시오.

3. 침해 지표(IoC) 모니터링

• FortiClientEMS 서버의 웹 서버 로그 및 데이터베이스 감사 로그에서 비정상적인 SQL 구문이나 에러 발생 이력을 점검하십시오.
• 아래와 같은 알려진 개념 실증(PoC) 스크립트의 요청 패턴을 모니터링하십시오:

# 외부 위협 인텔리전스에 등록된 공격 시도 탐지 예시
# HTTP POST/GET 요청 내에 비정상적인 SQL 예약어 및 시스템 명령 실행 시도 확인

본 취약점(CVE-2026-21643)은 Fortinet의 엔드포인트 관리 솔루션인 FortiClientEMS에서 발생하는 심각한 SQL 인젝션(SQL Injection, CWE-89) 취약점입니다.

공격자는 인증을 거치지 않은 상태에서 조작된 HTTP 요청을 FortiClientEMS 서버로 직접 전송할 수 있습니다. 서버가 입력값에 대한 적절한 검증 및 매개변수화(Parameterized Query) 처리를 수행하지 않고 SQL 쿼리를 동적으로 생성하기 때문에, 공격자가 주입한 악성 SQL 구문이 데이터베이스 엔진에서 그대로 실행됩니다.

특히, 데이터베이스 내장 함수나 확장 프로시저(예: Microsoft SQL Server의 xp_cmdshell 등)를 악용할 수 있는 환경일 경우, 단순한 데이터 유출을 넘어 대상 서버의 운영체제(OS) 수준에서 임의의 시스템 명령을 실행(Remote Code Execution)할 수 있는 치명적인 결과를 초래합니다. 본 취약점은 CVSS 9.8의 치명적(Critical) 등급으로 평가되었으며, 실제 공격에 악용되고 있어 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되었습니다.