Ivanti Connect Secure 예측 가능한 파일명 취약점 (CVE-2026-118527) 보안 권고 - 임의 파일 업로드 위험
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTIvanti Connect Secure 25.1.1.3 및 22.8R2.6 미만 버전
인증된 공격자가 예측 가능한 경로에 악성 파일을 업로드하여 시스템 권한 탈취의 발판으로 악용할 수 있음
제조사에서 제공하는 최신 보안 패치(25.1.1.3, 22.8R2.6 이상)를 즉시 적용
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
PATCH & WORKAROUND가장 확실한 조치는 Ivanti에서 제공하는 공식 패치 버전을 적용하는 것입니다.
1. 펌웨어 업데이트 - Ivanti Connect Secure 25.1.1.3 이상으로 업그레이드 - Ivanti Connect Secure 22.8R2.6 이상으로 업그레이드
2. 침해 지표(IoC) 점검 - 장비 내 `/home/etc/` 또는 웹 서버 루트 디렉토리 인근에 생성된 비정상적인 파일 확인 - 로그 분석을 통해 인증된 사용자의 비정상적인 파일 업로드 시도 모니터링
3. 임시 완화 조치 - 패치 적용 전까지 불필요한 사용자 계정의 권한을 최소화하고, 외부 노출된 관리자 인터페이스를 차단하십시오.
반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다
공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.
취약점 발생 원리 및 공격 메커니즘
본 취약점(CVE-2026-118527)은 Ivanti Connect Secure(ICS) 장비에서 업로드된 파일의 이름을 생성할 때 예측 가능한 알고리즘을 사용하는 설계 결함(CWE-340)에서 비롯됩니다. 원격의 인증된 공격자는 이 취약점을 악용하여 디스크 내 알려진 위치에 공격자가 제어하는 콘텐츠를 포함한 파일을 업로드할 수 있습니다. 비록 CVSS 점수는 4.3(Medium)으로 산정되었으나, CISA KEV(Known Exploited Vulnerabilities)에 등재되었고 EPSS 점수가 0.94를 상회하는 점은 실제 공격 현장에서 매우 활발하게 악용되고 있음을 시사합니다. 공격자는 이 결함을 다른 취약점과 연쇄(Chaining)하여 원격 코드 실행(RCE)을 달성하거나 백도어를 심는 용도로 활용할 가능성이 높습니다.
공식 보안 권고문 및 참조 링크
Use of predictable filenames in Ivanti Connect Secure before versions 25.1.1.3 and 22.8R2.6 allows a remote authenticated attacker to upload files with attacker-controlled content to a known location on disk.
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.