무슨 일이 있었나
미국 사이버보안 기관 CISA가 실제 악용 취약점(KEV) 목록에 10년 넘은 것을 포함한 오래된 취약점 5건을 추가했습니다. Security Affairs에 따르면 이는 중국 소재 사이버보안 기업 Integrity Technology Group과 연관된 행위자의 활동에 대해 일본을 포함한 7개국(호주, 캐나다, 뉴질랜드, 스페인, 영국, 미국)이 낸 공동 권고와 같은 시기입니다.
5개 취약점
| CVE | 제품 | 유형 | CVSS |
|---|---|---|---|
| CVE-2015-3306 | ProFTPD | 접근 통제(SITE CPFR/CPTO 명령)로 파일 읽기·수정 가능 | 10.0 |
| CVE-2021-3199 | ONLYOFFICE Docs | JWT 활성 시 경로 탐색, 코드 실행 가능성 | 9.8 |
| CVE-2016-3081 | Apache Struts | Dynamic Method Invocation 활성 시 method:를 통한 명령 주입 | 8.1 |
| CVE-2015-5477 | ISC BIND | TKEY 질의로 서비스 거부 | 7.5 |
| CVE-2023-22894 | Strapi | 관리자 패널 쿼리 필터로 민감 정보 노출 | 7.2 |
Security Affairs에 따르면 이 5건을 포함해 총 8개 취약점으로 초기 침투와 정보 탈취가 이뤄졌습니다. 스캐닝 도구, XSS, Microsoft Exchange 대상 패스워드 스프레이, 접근 유지를 위한 VPN, 메일·자격 증명 추출 스크립트도 쓰였습니다.
도구 압수
미 법무부와 FBI는 이 회사 것으로 알려진 도구 두 개를 압수했습니다. 취약한 시스템을 찾는 Microscan과, 스피어피싱으로 악성코드를 보내 파일을 훔치는 FishHub입니다. 여러 나라의 핵심 인프라 등에 쓰였다고 합니다.
미 연방기관의 조치 기한은 2026년 10월 11일이었습니다.
2015년 취약점이 왜 아직도 문제인가
잊힌 서버가 여전히 켜져 있기 때문입니다. 오래된 FTP, 업데이트 안 된 내부 DNS, 레거시 Struts 앱 등. 자동 스캐너는 이런 시스템을 대량으로 찾아냅니다. 일본이 권고에 참여한 것은 일본 기업도 대상임을 보여 줍니다.
중소기업 체크리스트
- 노출 자산 목록화: 오래된 "임시" 서버를 포함해 인터넷에서 접근 가능한 모든 것.
- 위 5개 제품 버전 확인 후 업데이트하거나 끄기.
- Exchange: MFA 적용, 레거시 인증 차단, 패스워드 스프레이 감시.
- 스피어피싱 교육.
- CISA KEV 목록을 미국 밖에서도 패치 우선순위 목록으로 활용.
출처
- Security Affairs(2026.10.11): https://securityaffairs.com/200734/security/u-s-cisa-adds-proftpd-onlyoffice-docs-strapi-apache-struts-and-isc-bind-flaws-to-its-known-exploited-vulnerabilities-catalog.html
- CISA KEV: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
회사의 공격 표면을 파악하고 줄이고 싶으신가요? KGA IT가 무료 상담을 제공합니다: kga-it.com