CVE-2026-104935: 인증되지 않은 코드 실행을 위한 Ivanti Connect Secure 제로 데이 악용

Ivanti는 Ivanti Connect Secure (ICS)에서 실제 공격에서 적극적으로 악용되고 있는 고심각도 취약점 CVE-2026-104935를 공개했습니다. 이 결함은 CVSS 점수 8.6을 가지며 인증되지 않은 공격자가 인증을 우회하고 취약한 VPN 장치에서 임의의 명령을 실행할 수 있도록 합니다.

이 취약점은 Volexity가 당시 완전히 패치된 Ivanti Connect Secure 장치가 침해된 상황을 조사한 후 드러났습니다. 이전에 알려지지 않은 UTA0576로 추적된 위협 행위자는 CVE-2026-104935에 의해 다루어지는 인증 우회와 원격 코드 실행을 별도의 권한 상승 제로데이와 연결하여 인증되지 않은 루트 수준 명령 실행을 달성했습니다.

관찰된 캠페인은 인터넷에 노출된 VPN 인프라의 취약성과 관련된 보안 위험을 보여줍니다. 루트 권한을 획득한 후 공격자는 자격 증명, Active Directory 데이터, LAPS 비밀번호, BitLocker 복구 키 및 피해자 환경으로 더 깊이 이동할 수 있는 기타 민감한 정보를 목표로 삼았습니다.

Ivanti는 2026년 10월 13일 제한된 야생 악용 사례를 인지하고 영향을 받는 릴리스를 실행하는 조직에 즉각적인 조치를 촉구했습니다. CISA는 이후 이 취약점을 알려진 악용 취약점 목록에 추가했습니다.

보안 팀은 SOC Prime의 AI-기반 탐지 인텔리전스 플랫폼을 활용하여 새로운 위협의 조사를 가속화하고 SIEM, EDR, XDR, 데이터 레이크 환경 전체에서 탐지 콘텐츠를 운영화할 수 있습니다.

Prime Architect는 탐지 논리로 새로운 위협 인텔리전스를 전환하고, 사냥 쿼리 및 환경-specific 규칙을 전환하여 탐지 엔지니어를 더욱 지원할 수 있으며, Prime Hunt는 조직의 텔레메트리 전역에서 회고적 조사를 가능하게 합니다.

영업 문의

CVE-2026-104935 분석

CVE-2026-104935는 특정 버전의 Ivanti Connect Secure에 영향을 미치며, 공격자가 인증되지 않은 웹 요청에서 CGI 서버 계정의 컨텍스트에서 임의 코드 실행으로 이동하는 데 사용한 두 가지 약점을 결합합니다.

이 취약점은 CWE-290 아래 스푸핑을 통한 인증 우회로 분류됩니다. Ivanti에 따르면 이 문제는 자격 증명이나 사용자 상호작용 없이 원격에서 악용될 수 있으며, CVSS 점수는 8.6입니다.

Volexity는 Ivanti Connect Secure 22.8R2.4 빌드 19097을 실행 중인 장치를 조사하는 동안 악용 체인을 재구성했습니다. 이 장치는 2026년 10월 3일 악의적 활동이 시작되었을 때 완전히 패치된 상태로 간주되었습니다. 연구원들은 10월 5일 사건을 조사하기 시작했고 이후 Ivanti와 협력하여 영향을 받은 시스템의 메모리, 디스크 이미지 및 코어 덤프를 분석했습니다.

첫 번째 단계는 공개적으로 액세스 가능한 /dana-na/auth/url_default/welcome.cgi 엔드포인트와 관련된 요청 라우팅 동작을 악용합니다. 공격자는 인증이 일반적으로 필요한 CGI 리소스를 가리키는 X-DSCGI-PATH HTTP 헤더를 제공할 수 있습니다.

보안 결정은 공개 URL에 기반을 두고 있으며, 헤더는 요청을 받는 실제 스크립트를 제어합니다. 이 차이로 인해 공격자가 인증되지 않은 요청을 보호된 CGI 기능으로 라우팅할 수 있습니다.

UTA0576는 이 메커니즘을 사용하여 두 번째 취약점을 포함하는 업로드 핸들러 wu.cgi에 도달했습니다. 공격자는 .zip 확장자로 위장된 악성 Perl 스크립트를 제출했습니다. 핸들러는 업로드된 콘텐츠를 /home/runtime/tmp/에 임시로 기록한 후 파일이 유효한 ZIP 아카이브인지 확인했습니다.

유효하지 않은 파일은 이후 삭제되었지만, 파일 생성과 제거 사이의 짧은 기간을 공격자는 악용했습니다. X-DSCGI-PATH를 통해 임시 파일을 참조하는 병렬 요청은 Perl 페이로드가 삭제 전에 실행될 수 있도록 했습니다.

초기 페이로드는 Bash를 시작한 다음 주로 메모리에 존재하는 인코딩된 Python 단계를 시작했습니다. 이 시점에서 공격자는 낮은 권한의 cgi-server 계정으로 코드 실행을 얻었습니다.

권한을 상승시키기 위해, UTA0576는 특권 dsinvoked 서비스 및 DSCache 구성 저장소를 포함하는 별도의 제로데이를 연쇄했습니다. 공격자는 Ivanti 라이브러리의 메모리에 저장된 사본을 수정하고, 특권 유지보수 작업의 구성을 변경하며 dsinvoked가 공격자 제어 Perl 코드를 루트로 실행하도록 했습니다.

루트 액세스를 얻은 후, 익스플로잇은 수정된 인-메모리 구성 및 라이브러리 상태를 복원했습니다. 또한 Ivanti 디버그 로그 및 Linux 감사 로그에서 관련 항목을 제거하여 디스크상에서 포렌식 아티팩트를 크게 줄였습니다.

이 동작은 특히 중요합니다. Ivanti의 무결성 검사 도구는 예기치 않은 파일 변경을 식별하는 데 중점을 두기 때문입니다. 이 익스플로잇 부분은 메모리에서만 코드를 수정하고 일시적인 구성 변경 후 복원하므로, Volexity는 도구로 탐지를 회피할 수 있다고 밝혔습니다.

공격자는 일반적인 지속적인 웹 셸이나 첫 번째 단계의 백도어를 설치하지 않았습니다. 대신, UTA0576는 다른 명령을 실행할 필요가 있을 때마다 완전한 익스플로잇 체인을 반복적으로 실행하고 명령 출력을 익스플로잇의 HTTPS 트래픽을 통해 직접 반환했습니다.

익스플로잇 후 활동은 자격 증명과 Active Directory에 강하게 집중되었습니다. Volexity는 공격자가 VPN 장치에 저장된 자격 증명을 추출하고, Active Directory를 쿼리하며, Windows LAPS 비밀번호와 BitLocker 복구 키를 검색하고, 비밀번호 스프레이를 수행하며, 인증 로그를 검사하고, LDAP 트래픽을 수집하는 것을 관찰했습니다.

위협 행위자는 또한 자격 증명을 테스트하고 민감한 디렉터리 속성에 접근하기 위해 맞춤형 Python과 Kerberos 도구를 사용했습니다. 정찰 및 자격 증명 수집과 관련된 파일은 /tmp/ 아래에 일시적으로 임시 저장되었다가 탈출 후 정리되었습니다.

귀속은 불확실하게 남아 있습니다. Volexity는 행위자를 UTA0576로 추적하고 그 동기가 첩보보다는 범죄적일 가능성이 낮다고 평가했습니다. 연구원들은 또한 행위자가 침입의 운영적 특성에 기반하여 대형 언어 모델을 익스플로잇 개발이나 익스플로잇 후 활동에 사용했을 가능성을 중간 수준으로 평가했습니다.

출판 시 검토된 주요 출처에서 유효한 CVE-2026-104935 PoC가 널리 공개된 것은 확인되지 않았습니다. 하지만 Volexity는 공격 체인에 대한 상당한 기술적 세부 사항을 발표하여, 조직들은 추가 행위자가 기술을 재현하려고 시도할 수 있다고 가정해야 합니다.

CVE-2026-104935 탐지를 위해 방어자는 특히 X-DSCGI-PATH 헤더가 다른 CGI 리소스나 임시 파일을 참조할 때 /dana-na/auth/url_default/welcome.cgi에 대한 높은 양의 요청을 모니터링해야 합니다.

CVE-2026-104935 완화

Ivanti는 CVE에 포함된 인증 우회 및 RCE 구성 요소에 대한 수정을 출시했습니다. 영향을 받은 Connect Secure 릴리스를 실행하는 조직들은 무결성 검사에만 의존하지 말고 즉시 업데이트해야 합니다.

Ivanti의 10월 보안 지침은 지원되는 브랜치에 걸친 고정 릴리스를 확인하여 22.8R2.5, 25.1.1.2, 25.1.3.0, 및 25.1.3.1배포된 코드 라인에 따라 결정됩니다. Ivanti는 22.x 코드 라인이 수명 종료에 가까워지고 있기 때문에 가능한 한 빨리 25.x 브랜치로 이동할 것을 권장합니다.

관찰된 세 개의 제로데이 체인에서 사용된 별도의 권한 상승 취약점은 Volexity가 10월 13일 분석을 발표했을 때 아직 수정되지 않았습니다. Ivanti는 향후 릴리스를 위한 패치를 준비하고 있었습니다. 이는 CVE-2026-104935 수정 설치가 특히 중요합니다. 처음 인증 우회와 RCE를 차단하면 공격자가 로컬 권한 상승을 악용하는 데 필요한 단계를 도달하지 못하도록 할 수 있기 때문입니다.

업체에서 권장하는 대로 조직은 또한 Ivanti의 무결성 검사 도구를 계속 실행해야 하지만, 깨끗한 결과를 착취가 발생하지 않았다는 결정적 증거로 처리하지 않아야 합니다. Ivanti 자체는 업데이트 및 무결성 검사를 네트워크 모니터링, 로그 검토, 액세스 제어 및 지속적인 장치 검증과 결합할 것을 권장합니다.

CVE-2026-104935 악용을 감지하기 위해 방어자는 요청된 URL과 X-DSCGI-PATH 헤더의 값 간의 불일치를 감지하기 위해 HTTP 텔레메트리를 조사해야 합니다. Volexity가 관찰한 특별히 의심스러운 값에는 wu.cgi 또는 /home/runtime/tmp/ 아래 파일을 참조하는 경로가 포함됩니다.

보안 팀은 또한 설명되지 않은 스크립트나 정찰 아티팩트를 조사하기 위해 /tmp/를 확인하고 Active Directory, LDAP 서비스, DNS 인프라 또는 내부 인증 시스템으로부터 시작되는 VPN 장치에서의 예상치 못한 활동을 조사해야 합니다.

조사된 사건에서의 알려진 CVE-2026-104935 IOC에는 공격자 제어 IP 주소 108.165.147[.]64, /data/.icscap/과 관련된 의심스러운 활동, 노출된 welcome CGI 경로를 목표로하는 반복적인 요청이 포함됩니다. 이는 공격자가 인프라를 쉽게 회전하거나 임시 파일 이름을 변경할 수 있기 때문에 행동 탐지와 함께 사용해야 합니다.

손상 징후를 식별한 조직은 독립적인 디스크 기반 검사에만 의존하지 않고 네트워크 및 메모리 포렌식을 수행해야 합니다. 장치를 통해 저장되거나 접근 가능한 자격 증명은 노출되었을 가능성이 있으며, LDAP 서비스 자격 증명 등을 포함하여 격리 후 교체되어야 합니다.

방어자는 또한 Active Directory에서 의심스러운 LDAP 쿼리, 비밀번호 스프레이, LAPS 또는 BitLocker 복구 속성에 대한 접근, 비정상적인 Kerberos 활동 및 VPN 장치에서 시작된 횡적 이동을 조사해야 합니다.

CISA는 2026년 10월 13일 이 결함을 알려진 악용 취약점 목록에 추가하여, 관련 미국 연방 민간 기관을 위한 10월 16일 수정 마감일을 설정했습니다. 이는 패치를 위해 광범위한 악용을 기다리지 않고 조직이 이를 긴급한 우선순위로 다뤄야 함을 확인합니다.

SOC Prime의 AI-기반 탐지 인텔리전스 플랫폼은 보안 팀이 이 위협 인텔리전스를 운영화하고 관련 행동을 사냥하며, 네트워크, 신원, 엔드포인트 텔레메트리에 맞춰 탐지를 조정할 수 있도록 도울 수 있습니다.