VMware vCenter Server Syslog 서비스 디렉터리 경로 조작 기반 원격 코드 실행 취약점 (CVE-2026-59310)

1. 공식 보안 패치 적용

Broadcom 지원 포털의 공식 보안 권고를 확인하고, 사용 중인 vCenter 버전에 맞는 최신 업데이트 패치를 즉시 적용하십시오.

2. 임시 완화 조치 (Workaround)

패치 적용이 즉시 불가능한 경우, 아래의 네트워크 방화벽 및 접근 제어 조치를 수행하십시오.

• Syslog 포트 외부 노출 차단: vCenter Server로 향하는 Syslog 포트(기본 UDP/TCP 514) 및 관리 콘솔 포트(HTTPS 443)에 대한 외부 인터넷으로부터의 직접적인 접근을 전면 차단합니다.
• 방화벽(iptables/firewalld) 규칙 설정 예시:

  # 신뢰할 수 있는 내부 모니터링 IP(예: 10.0.0.100) 외의 모든 514 포트 접근 차단
  iptables -A INPUT -p udp -s 10.0.0.100 --dport 514 -j ACCEPT
  iptables -A INPUT -p tcp -s 10.0.0.100 --dport 514 -j ACCEPT
  iptables -A INPUT -p udp --dport 514 -j DROP
  iptables -A INPUT -p tcp --dport 514 -j DROP

3. 침해 지표(IoC) 모니터링

• vCenter Syslog 로그 저장 경로 및 웹 서버 루트 디렉터리(/usr/lib/vmware-sso/ 또는 /storage/log/ 등) 내에 비정상적인 파일 생성 여부를 점검하십시오.
• 외부 IP로부터 vCenter Syslog 포트로 유입되는 비정상적인 디렉터리 상위 이동 패턴(../, ..\)을 포함한 네트워크 트래픽을 탐지하도록 IDS/IPS 룰을 업데이트하십시오.

본 취약점(CVE-2026-59310)은 VMware vCenter Server의 내장 Syslog 서비스에서 발생하는 심각한 디렉터리 경로 조작(Directory Traversal, CWE-22) 취약점입니다.

공격자는 특수하게 조작된 Syslog 패킷 또는 요청을 전송하여 입력값 검증 루틴을 우회하고, 시스템 내부의 임의 경로에 파일을 생성하거나 기존 파일을 덮어쓸 수 있습니다. 이 과정에서 웹셸(Web Shell)을 업로드하거나 시스템 시작 스크립트를 변조함으로써, 최종적으로 대상 vCenter 서버에서 최고 권한으로 임의의 시스템 명령을 실행(RCE)할 수 있게 됩니다.

특히 본 취약점은 CVSS 3.1 기준 최고점인 9.8(Critical)을 기록하였으며, CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 야생(In-the-Wild)에서 APT 그룹 등에 의해 적극적으로 악용되고 있음이 확인되었습니다. EPSS 점수 또한 0.94(94%) 이상으로 매우 높아, 인터넷에 노출된 vCenter 인프라에 대한 즉각적인 침투 시도가 발생하고 있으므로 최우선적인 대응이 요구됩니다.