무슨 일이 있었나
2026년 6월 8일 Check Point는 Remote Access VPN, Mobile Access, Spark Firewall의 인증 우회 취약점 CVE-2026-50751(CVSS 9.3, 치명적)에 대한 권고를 발표했습니다. 이 취약점은 이미 악용되고 있었고, 확인된 가장 이른 활동은 2026년 5월 7일이며 6월 초에 증가했습니다. CISA는 이를 KEV 카탈로그에 추가했습니다.
Check Point에 따르면 공격은 제한적이며 수십 개 조직이 대상입니다. 최소 1건은 중간 수준의 확신으로 Qilin 랜섬웨어 계열과 연관됐습니다. Rapid7도 2건을 확인했습니다.
영향 대상
오래된 IKEv1 프로토콜을 쓰고, 레거시 Remote Access 클라이언트를 허용하며, 머신 인증서를 요구하지 않는 게이트웨이가 대상입니다. 이 구성에서는 자격 증명 없이 VPN 세션을 열 수 있습니다. 내부 자원에 접근하려면 추가 단계가 필요하지만 출입문은 열립니다.
영향 버전: R80.20.X, R80.40, R81, R81.10(모두 지원 종료), R81.10.X, R81.20, R82, R82.00.X, R82.10.
Check Point는 관련 취약점 CVE-2026-50752(CVSS 7.4)도 발견했습니다. 특정 구성에서 사이트 간 터널에 대한 중간자 공격이 가능하며, 악용은 확인되지 않았습니다.
대응
- 정기 패치 주기를 기다리지 말고 Check Point 핫픽스를 긴급 적용하세요.
- 당장 어렵다면: 레거시 클라이언트 지원 제거, Remote Access 인증을 IKEv2 전용으로 설정, 머신 인증서 필수화, 최신 시그니처로 IPS 활성화.
- 패치 후에도 5월 7일 이후 로그에서 침해 흔적을 찾으세요.
- 지원 종료 버전은 이전하세요.
교훈
경계 VPN과 방화벽은 여전히 랜섬웨어의 주요 표적입니다. "호환성 때문에" 오래된 프로토콜을 켜 두면 이런 공격의 문이 열립니다.
출처
- Rapid7(2026년 6월 8일, 업데이트): https://www.rapid7.com/blog/post/etr-critical-check-point-vpn-zero-day-exploited-in-the-wild-cve-2026-50751/
- Hive Pro, CISA KEV 카탈로그 2026년 6월: https://www.hivepro.com/threat-digests/cisa-known-exploited-vulnerability-catalog-june-2026
회사에서 인터넷에 노출된 VPN이나 방화벽을 쓰시나요? KGA IT가 설정을 무료로 점검해 드립니다: kga-it.com