[Security News] CISA, Fortinet 자격증명 노출 경고와 KEV 갱신 (6.18)

CISA는 Fortinet 장비 약 7만4,000대와 연관된 자격증명 노출 보고 뒤 인터넷 노출 장비의 강화 조치를 요구했고, Splunk Enterprise 취약점 CVE-2026-20253을 KEV에 추가했다. 같은 날 산업제어·의료기기 권고와 랜섬웨어·악성코드 캠페인 보도도…

목차

1. 개요
2. CISA, Fortinet 장비 약 7만4,000대 자격증명 노출 경고
3. CISA, Splunk Enterprise CVE-2026-20253을 KEV에 추가
4. 산업제어·의료기기 권고, 코드 실행과 서비스 거부 위험 병존
5. DragonForce·Windows 클리퍼 보도, 정상 인프라와 사용자 동작을 악용
6. 결제 페이지 스크립트, PCI DSS 준수 범위로 들어오다
7. 오늘 아침 추가 속보
8. 한눈에 보기
9. FAQ
10. 출처

CISA, Fortinet 자격증명 노출 경고와 KEV 갱신 (6.18)

개요

• CISA는 FortiBleed로 불리는 활동이 Fortinet 방화벽과 VPN 게이트웨이 등 약 7만4,000대의 자격증명 노출과 관련된다고 밝히고 인터넷 노출 장비 강화를 요구했다.
• CISA는 실제 악용 증거를 근거로 Splunk Enterprise의 인증 누락 취약점 CVE-2026-20253을 KEV 카탈로그에 추가했다.
• CISA는 AzeoTech, Apollo Pharmacy, Mitsubishi Electric, Schneider Electric, Rockwell Automation 제품군에 대한 산업제어·의료기기 권고를 공개했다.
• feeds.feedburner.com이 전한 보안 보도에서는 DragonForce 관련 Backdoor.Turn, Windows 클리퍼, INC 랜섬웨어, 결제 페이지 스크립트 위험이 함께 부각됐다.

CISA, Fortinet 장비 약 7만4,000대 자격증명 노출 경고

CISA는 6월 18일 인터넷에 노출된 Fortinet 장비가 탈취된 자격증명으로 표적이 됐다는 국제 보고를 인지하고 있다고 밝혔다. CISA 설명에 따르면 이 활동은 FortiBleed로 불리며, 방화벽과 가상사설망(VPN) 게이트웨이를 포함한 약 7만4,000대 Fortinet 장비와 연관된 유출 자격증명을 포함한다. 정부와 민간 조직이 모두 언급됐다는 점에서, 이번 경고의 초점은 특정 산업 하나가 아니라 인터넷에 직접 노출된 경계 장비 전반이다.

이번 사안은 새 취약점 번호 하나를 중심으로 한 패치 공지가 아니라, 이미 노출됐거나 탈취됐을 가능성이 있는 계정 정보가 경계 장비 접근에 쓰일 수 있다는 운영 위험에 가깝다. 보안 담당자는 Fortinet 장비 자체의 버전 확인만으로 판단을 끝낼 수 없다. 계정 폐기, 비밀번호 재설정, 다중인증 적용, 관리 인터페이스 노출 축소, 접속 로그 점검이 함께 들어가야 한다.

CISA는 방어 조치로 영향을 받을 수 있는 Fortinet 고객이 장비 강화를 진행해야 한다고 촉구했다. 제공된 원문 근거에는 특정 CVE 번호나 CVSS 점수가 제시되지 않았다. 따라서 이번 항목은 취약점 공개라기보다 자격증명 노출에 따른 침해 가능성 축소 권고로 분류하는 편이 정확하다.

▸ Fortinet 자격증명 노출 자세히 확인하기

FortiBleed 경고에서 핵심은 약 7만4,000대라는 규모와 장비 유형이다. 방화벽과 VPN 게이트웨이는 내부망 접속, 원격근무, 관리자 접근의 관문 역할을 한다. 이 장비의 자격증명이 유출되면 공격자는 취약점 익스플로잇 없이도 정상 로그인처럼 보이는 접근을 시도할 수 있다. 그래서 단순히 최신 펌웨어 적용 여부만 확인하는 대응은 충분하지 않다.

CISA가 말한 "compromised credentials"는 악성 행위자가 이미 사용할 수 있는 계정 정보가 있다는 뜻이다. 이 경우 보안팀은 패치 상태와 계정 상태를 분리해서 봐야 한다. 장비가 최신 버전이어도 이전에 탈취된 계정이 살아 있으면 위험이 남는다. 반대로 계정을 회수했더라도 관리 포트가 넓게 열려 있으면 무차별 로그인 시도나 자격증명 대입 공격에 계속 노출된다.

운영 측면에서 우선순위는 세 갈래다. 첫째, 인터넷에서 직접 접근 가능한 Fortinet 관리 인터페이스와 VPN 포털을 식별한다. 둘째, 관리자·서비스 계정·최근 퇴사자 계정의 비밀번호를 바꾸고 불필요한 계정을 비활성화한다. 셋째, 최근 로그인 이력에서 해외 IP, 비정상 시간대, 실패 후 성공 패턴, 새 계정 생성 같은 흔적을 확인한다. CISA가 별도 제품 보증이 아니라 정보 제공 목적의 경고임을 밝힌 점도 중요하다. 기관은 특정 상용 제품을 추천한 것이 아니라, 이미 공개된 노출 보고를 근거로 방어 행동을 요구한 것이다.

이번 경고는 Fortinet을 쓰는 조직만의 문제가 아니다. VPN과 방화벽 계정은 여러 침해 사고에서 초기 접근 수단으로 반복 사용됐다. 경계 장비가 신원 확인과 네트워크 진입을 동시에 담당하기 때문에, 계정 정보가 빠져나가면 내부 시스템의 취약점 여부와 무관하게 침해 표면이 열린다. 실무적으로는 Fortinet 장비 목록을 만드는 데서 멈추지 말고, 같은 계정 체계나 같은 관리자 비밀번호를 쓰는 다른 네트워크 장비까지 함께 점검해야 한다.

CISA, Splunk Enterprise CVE-2026-20253을 KEV에 추가

CISA는 같은 날 알려진 악용 취약점 카탈로그인 KEV에 Splunk Enterprise 취약점 CVE-2026-20253을 새로 추가했다. CISA는 이 결정을 실제 악용 증거에 근거한 조치라고 설명했다. 취약점 유형은 "중요 기능에 대한 인증 누락"으로 제시됐으며, 이는 인증을 거치지 않은 접근이 정상적으로 보호돼야 할 기능에 닿을 수 있는 결함을 뜻한다.

KEV 등재는 일반 취약점 공지와 의미가 다르다. NVD나 벤더 보안 가이드가 취약점의 존재와 심각도 정보를 제공한다면, KEV는 실제 악용이 확인된 항목을 운영 우선순위로 끌어올리는 신호다. 특히 Splunk Enterprise는 로그 수집, 검색, 보안 모니터링, 관제 분석에 쓰이는 경우가 많아, 인증 결함이 관제 인프라 자체의 신뢰성 문제로 이어질 수 있다.

제공된 근거에는 CVSS 3.1 점수, 영향을 받는 상세 버전, 패치 명칭이 포함돼 있지 않다. 그러나 CISA가 "active exploitation"을 근거로 KEV에 넣었다는 사실만으로도 보안팀의 처리 순위는 높아진다. Splunk Enterprise 운영 조직은 벤더 보안 업데이트 적용 여부를 확인하고, 외부 노출 인스턴스와 관리자 기능 접근 로그를 먼저 살펴야 한다.

▸ Splunk KEV 등재 자세히 확인하기

CVE-2026-20253의 공개 설명은 "Missing Authentication for Critical Function"이다. 한국어로 풀면 중요한 기능을 호출할 때 필요한 인증 검사가 빠진 취약점이다. 이런 유형은 공격자가 취약한 기능에 직접 접근할 수 있는지, 해당 기능이 어떤 권한을 갖는지, 외부에서 도달 가능한지에 따라 위험도가 달라진다. 제공된 자료만으로 원격 코드 실행(RCE) 여부나 권한 상승(LPE) 여부를 단정할 수는 없다.

KEV의 운영상 의미는 명확하다. 취약점 관리에서는 보통 CVSS 점수, 자산 중요도, 외부 노출 여부, 악용 가능성, 패치 난이도를 함께 본다. 그런데 KEV 등재는 이 가운데 "악용 가능성"을 넘어 "악용 확인" 쪽에 무게를 둔다. 따라서 동일한 CVSS 점수의 다른 취약점보다 먼저 처리하는 것이 합리적이다. 특히 로그·보안 분석 플랫폼은 다른 시스템의 침해 흔적을 모으는 위치에 있어, 공격자가 접근하면 탐지 우회나 증거 훼손 가능성까지 생긴다.

Splunk Enterprise 운영자는 세 가지 확인을 나눠 진행해야 한다. 먼저 설치 버전과 벤더 권고를 대조해 패치 필요 여부를 판단한다. 다음으로 외부 인터넷에서 접근 가능한 Splunk 웹 인터페이스, API, 관리 포트를 식별한다. 마지막으로 의심스러운 검색 작업, 설정 변경, 계정 생성, 앱 설치, 토큰 발급 이력을 검토한다. 이 과정은 공격 코드나 페이로드를 알 필요가 없으며, 오히려 운영 로그와 접근 경로를 중심으로 확인하는 편이 재현 가능한 방어 활동에 가깝다.

NIST의 National Vulnerability Database는 CVE 기록과 심각도 메타데이터를 제공하는 공식 취약점 데이터베이스다. Microsoft Security Response Center와 Google Online Security Blog도 각각 제품 보안 업데이트와 취약점 공개 글을 제공한다. 다만 이번 Splunk KEV 항목에 대해 제공된 원문 묶음에서 직접 확인된 근거는 CISA의 KEV 추가 발표다. 따라서 본문에서는 점수나 버전 범위를 임의로 보태지 않고, 실제 악용과 인증 누락이라는 확인된 정보에 한정했다.

산업제어·의료기기 권고, 코드 실행과 서비스 거부 위험 병존

CISA는 6월 18일 여러 산업제어시스템(ICS)·의료기기 권고도 함께 공개했다. AzeoTech DAQFactory 권고는 DAQFactory 21.1 이하가 CVE-2026-12390의 영향을 받는다고 밝혔다. CISA 요약에 따르면 이 취약점은 악성 .ctl 파일 업로드를 허용해 임의 코드 실행으로 이어질 수 있다.

의료기기 영역에서는 Apollo Pharmacy Blood Glucose Monitoring System APG-01 BT 권고가 공개됐다. CISA는 취약점 악용 시 민감한 건강 관련 정보를 얻거나, 정상 사용자가 기기와 연결을 맺지 못하게 할 수 있다고 설명했다. 이 항목은 단순 데이터 유출뿐 아니라 연결 방해가 환자·사용자 경험에 미치는 영향을 함께 고려해야 한다.

Mitsubishi Electric MELSEC iQ-F Series와 FX5-ENET/IP Ethernet Module 관련 권고는 서비스 거부(DoS) 조건을 중심으로 한다. 한 권고는 TCP 연결을 빠르게 다수 설정해 내부 연결 관리 불일치와 부적절한 메모리 접근을 유발할 수 있다고 설명했고, 다른 권고는 짧은 시간에 많은 통신 패킷을 Ethernet 포트로 보내 처리 부하를 높이는 시나리오를 제시했다. Rockwell Automation FactoryTalk Historian Site Edition 권고는 유효한 인증 토큰 획득, DoS, 시스템 충돌 가능성을 언급했다.

▸ ICS·의료기기 권고 자세히 확인하기

산업제어 권고는 일반 IT 취약점과 다른 판단 기준이 필요하다. 서버나 데스크톱 소프트웨어는 빠른 패치가 기본 대응이지만, 현장 장비와 제어 시스템은 가동 중단 비용, 검증 절차, 공급업체 승인, 안전 규정 때문에 즉시 교체가 어렵다. 그래서 CISA ICS 권고는 취약점의 기술 유형뿐 아니라 영향을 받는 제품명과 버전, 악용 성공 시 결과를 구체적으로 적는 형식을 취한다.

AzeoTech DAQFactory의 CVE-2026-12390은 제공된 근거에서 영향을 받는 버전이 DAQFactory 21.1 이하로 명시됐다. 공격자가 악성 .ctl 파일을 업로드해 임의 코드 실행으로 이어질 수 있다는 설명은 운영자가 파일 업로드 경로와 프로젝트 파일 관리 절차를 점검해야 함을 뜻한다. 여기서 임의 코드 실행은 공격자가 시스템에서 의도하지 않은 명령이나 코드를 실행할 수 있는 상태를 말한다. 제공된 발췌에는 CVSS 점수가 없어 점수를 단정하지 않는다.

Mitsubishi Electric 권고 두 건은 모두 가용성에 관한 위험을 말한다. 하나는 빠른 TCP 연결 생성, 다른 하나는 짧은 시간의 대량 통신 패킷을 전제로 한다. 두 경우 모두 공격의 세부 절차를 알 필요 없이 네트워크 분리, 접근 제어 목록, 비정상 연결량 탐지, 장비 앞단의 트래픽 제한을 검토할 수 있다. 제어망에서는 장비가 멈추거나 통신이 끊기는 일이 생산 차질로 이어지므로, 기밀성보다 가용성이 더 큰 업무 위험이 되는 경우가 많다.

Rockwell Automation FactoryTalk Historian Site Edition은 산업 데이터 이력 관리와 관련된 제품군이다. CISA 요약은 취약점 악용 결과로 인증 토큰 획득, 서비스 거부, 시스템 충돌을 함께 들었다. 인증 토큰은 로그인 세션이나 API 접근을 대신하는 증표로 쓰이기 때문에, 탈취되면 계정 비밀번호가 직접 노출되지 않아도 권한 있는 요청이 가능해질 수 있다. Apollo Pharmacy 혈당 모니터링 시스템 항목은 건강 정보와 연결성이라는 두 축을 제시한다. 의료기기 보안에서는 개인정보 보호와 기기 사용 가능성이 동시에 다뤄져야 한다.

이날 ICS 권고 묶음의 공통 대응은 제품별 패치 적용 가능성 확인, 외부 접근 차단, 운영망과 사무망 분리, 관리 인터페이스 제한이다. 패치를 즉시 적용하기 어려운 현장은 공급업체 권고에 따라 시험 환경 검증을 먼저 수행하고, 그 사이 네트워크 기반 완화책을 적용해야 한다. 제공된 자료에는 각 권고의 상세 CVSS 점수와 모든 CVE 목록이 완전히 포함되지 않았으므로, 여기서는 확인된 CVE-2026-12390과 제품별 영향 설명에 초점을 맞췄다.

DragonForce·Windows 클리퍼 보도, 정상 인프라와 사용자 동작을 악용

feeds.feedburner.com이 전한 보도에 따르면 DragonForce 랜섬웨어와 관련된 위협 행위자는 Backdoor.Turn이라는 Go 기반 원격 접근 트로이목마(RAT)를 사용했다. 이 악성코드는 명령제어(C2) 트래픽을 Microsoft Teams relay 인프라 안에 숨기는 방식으로 관측됐다. 보도는 Broadcom 소유 Symantec과 Carbon Black의 분석을 인용하며, 해당 백도어가 미국의 한 대형 서비스 기업을 상대로 배포됐다고 전했다.

같은 날 feeds.feedburner.com은 Microsoft가 공개한 Windows 기반 암호화폐 클리퍼 캠페인도 보도했다. 이 캠페인은 2026년 2월부터 사용자를 표적으로 삼았고, 클립보드를 가로채는 악성코드와 자기 전파 기능을 결합했다. Microsoft 설명에 따르면 이 클리퍼는 Windows Script Host와 ActiveX 기반 로직을 이용해 번들 Tor 프록시를 실행하고 hidden-service C2를 조회했다.

랜섬웨어 흐름에서는 INC의 확산도 언급됐다. feeds.feedburner.com은 보안 연구자들이 INC를 초기 랜섬웨어 서비스형(RaaS) 작전에서 2026년의 주요 사이버범죄 그룹 가운데 하나로 성장한 사례로 정리했다고 전했다. 이 보도는 2023년 8월 이후 피해자 수가 830건 이상이라고 제시했다. 제공된 근거에는 Acronis의 설명도 포함됐으며, LockBit 교란과 BlackCat 중단 뒤 제휴자들이 대체 랜섬웨어 작전으로 이동하면서 INC가 확장할 기회를 얻었다는 취지다.

▸ 랜섬웨어·클리퍼 캠페인 자세히 확인하기

Backdoor.Turn 보도에서 중요한 대목은 공격 인프라의 위장 방식이다. Microsoft Teams relay는 기업 네트워크에서 정상 협업 트래픽으로 취급될 가능성이 크다. 공격자가 C2 트래픽을 이런 인프라 안에 숨기면, 보안 장비는 단순 도메인 차단이나 평판 기반 필터링만으로 비정상 통신을 구분하기 어렵다. 그래서 탐지는 도메인 이름보다 프로세스 행위, 비정상 연결 패턴, 예외적인 Teams relay 사용 맥락을 함께 봐야 한다.

Go 기반 RAT라는 점도 운영상 의미가 있다. Go로 작성된 악성코드는 여러 운영체제에 맞춰 빌드하기 쉽고, 정적 링크로 배포될 때 파일 크기와 문자열 구조가 기존 탐지 규칙과 다를 수 있다. 다만 제공된 자료는 Backdoor.Turn의 내부 명령, 페이로드, 우회 기법을 구체적으로 제시하지 않는다. 책임 있는 보안 보도 관점에서는 공격 재현에 필요한 세부 절차보다 탐지와 노출 축소에 필요한 정보가 우선이다.

Windows 클리퍼 캠페인은 사용자 동작을 직접 겨냥한다. 클리퍼는 사용자가 복사한 암호화폐 지갑 주소를 공격자 주소로 바꾸는 유형의 악성코드다. Microsoft가 언급한 Windows Script Host와 ActiveX는 오래된 기업 환경에서도 남아 있을 수 있는 실행 표면이다. Tor 기반 C2는 통신 목적지를 숨기는 데 쓰일 수 있으므로, 엔드포인트에서 예기치 않은 Tor 프록시 실행, 스크립트 호스트의 비정상 네트워크 접근, 이동식 저장장치의 LNK 파일 실행 흔적을 확인해야 한다.

INC 랜섬웨어의 830건 이상 피해자 수는 사이버범죄 생태계의 이동성을 보여준다. LockBit과 BlackCat 같은 기존 작전이 흔들리면 공격자 활동이 줄어드는 대신 다른 RaaS로 옮겨갈 수 있다. 이때 방어자는 특정 그룹명 하나에 맞춘 지표만 추적해서는 부족하다. 초기 접근 계정, 원격관리 도구 남용, 백업 삭제 시도, 데이터 유출 채널, 협박 사이트 게시 패턴처럼 여러 랜섬웨어 작전이 공유하는 행위를 기준으로 탐지해야 한다.

결제 페이지 스크립트, PCI DSS 준수 범위로 들어오다

feeds.feedburner.com은 독립 PCI 평가자가 새 PCI DSS 규칙에 비춰 Reflectiz를 테스트했다는 보도를 전했다. 보도는 고객이 결제 페이지에 카드 번호를 입력할 때 브라우저에서 기업 자체 코드만 실행되는 것이 아니라고 설명했다. 분석 태그, 태그 매니저, 지원 위젯, 결제 iframe 같은 제3자 스크립트가 함께 로드되고, 그중 하나가 결제 흐름의 위험 요인이 될 수 있다는 취지다.

이 사안은 특정 CVE나 패치 하나로 끝나는 취약점 공지가 아니다. 결제 페이지의 스크립트 공급망이 규정 준수와 보안 운영의 관리 대상으로 들어왔다는 변화에 가깝다. PCI DSS는 카드정보 환경을 보호하기 위한 보안 기준이며, 최신 요구사항은 브라우저에서 실행되는 스크립트의 출처와 변경을 더 엄격하게 보게 만든다.

개발팀과 보안팀이 함께 확인해야 할 부분은 스크립트 목록, 소유자, 로드 위치, 변경 승인 절차다. 결제 iframe을 사용해도 페이지 전체에 올라오는 태그와 위젯이 고객 브라우저에서 동작한다는 사실은 변하지 않는다. 따라서 결제 페이지에서 실행되는 제3자 코드의 추가·삭제·변경을 배포 파이프라인 수준으로 관리해야 한다.

▸ 결제 페이지 스크립트 자세히 확인하기

브라우저 보안에서 어려운 점은 실행 위치가 서버가 아니라 사용자 단말이라는 데 있다. 서버 로그에는 결제 페이지가 정상 응답한 것으로 남더라도, 사용자의 브라우저 안에서는 태그 매니저가 다른 스크립트를 불러오고, 지원 위젯이 외부 도메인과 통신하며, 분석 도구가 DOM 변화를 관찰할 수 있다. 이 중 하나가 침해되거나 잘못 설정되면 카드 입력 흐름과 가까운 위치에서 위험이 생긴다.

PCI DSS 관점에서 스크립트 관리는 단순 자산 목록보다 더 구체적이어야 한다. 어떤 스크립트가 결제 페이지에서 실행되는지, 누가 승인했는지, 어떤 무결성 검사가 있는지, 스크립트가 변경됐을 때 알림이 가는지, 불필요한 태그가 남아 있지 않은지 확인해야 한다. 보도에 나온 독립 PCI 평가자의 테스트는 특정 제품 검증이라는 맥락을 갖지만, 더 넓게는 결제 페이지 운영자가 브라우저 쪽 공급망을 증명해야 하는 환경을 보여준다.

개발 조직에는 책임 경계가 생긴다. 마케팅팀이 태그 매니저를 통해 분석 도구를 추가하고, 고객지원팀이 채팅 위젯을 넣고, 결제팀이 iframe을 붙이는 식으로 각 부서가 스크립트를 관리하면 전체 결제 페이지의 위험을 한 사람이 파악하기 어렵다. 보안팀은 차단부터 시작하기보다 승인 체계와 가시성을 먼저 세워야 한다. 모든 제3자 스크립트를 없애는 것은 현실적이지 않지만, 결제 페이지에서 실행되는 코드가 무엇인지 모르는 상태는 규정 준수와 사고 대응 모두에서 약점이 된다.

실무 대응은 세 단계로 정리된다. 먼저 결제 페이지에서 실행되는 1자·3자 스크립트를 실제 브라우저 기준으로 수집한다. 다음으로 각 스크립트의 목적, 소유 부서, 공급업체, 데이터 접근 범위를 기록한다. 마지막으로 변경 탐지와 승인 절차를 만들고, 결제 흐름에 필요 없는 태그는 제거한다. 이 접근은 특정 공격 코드 공개 여부와 무관하게 적용할 수 있는 방어 조치다.

오늘 아침 추가 속보

• microsoft.com: New Forrester study shows customers who unified with Microsoft Security benefited from 124% ROI - Across many industries, organizations are unifying security and putting AI agents to work. Security teams are utilizing agents that reason, decide, and act on t
• feeds.feedburner.com: F5 Patches Two Critical NGINX Open Source Flaws Enabling Remote Code Execution - F5 has released security updates to address two critical security flaws in NGINX Open Source that could be exploited to achieve code execution on affected syste
• feeds.feedburner.com: Orphaned AI Agents: How to Find Hidden Access Risks Inside Your Network - If an autonomous AI agent interacts with your company's core intellectual property today, can your security team instantly name the person who authorized it? Fo
• feeds.feedburner.com: ThreatsDay Bulletin: Claude Chat Abuse, NastyC2 npm Packages, Device-Code Phishing + 25 More Stories - The internet did not break this week. It got used exactly as designed, which is worse. Searches were siphoned through shady browser add-ons. AI chat links turne

한눈에 보기

사실	발행처	출처
CISA는 인터넷 노출 Fortinet 장비가 탈취 자격증명으로 표적이 됐다고 밝혔다	cisa.gov	cisa.gov
FortiBleed 활동은 방화벽·VPN 게이트웨이 등 약 7만4,000대와 연관된 자격증명 노출을 포함한다	cisa.gov	cisa.gov
CISA는 Splunk Enterprise의 CVE-2026-20253을 KEV 카탈로그에 추가했다	cisa.gov	cisa.gov
AzeoTech DAQFactory 21.1 이하에는 임의 코드 실행으로 이어질 수 있는 CVE-2026-12390이 있다	cisa.gov	cisa.gov
Rockwell FactoryTalk Historian SE 11 취약점은 토큰 획득, DoS, 시스템 충돌로 이어질 수 있다	cisa.gov	cisa.gov
DragonForce 관련 행위자는 Backdoor.Turn RAT로 Microsoft Teams relay 안에 C2 트래픽을 숨겼다	feeds.feedburner.com	thehackernews.com
Microsoft는 2026년 2월부터 Windows 클리퍼 캠페인이 사용자를 표적으로 삼았다고 공개했다	feeds.feedburner.com	thehackernews.com

FAQ

Q1. FortiBleed는 CVE가 공개된 취약점인가?

A. 제공된 CISA 근거는 FortiBleed를 약 7만4,000대 Fortinet 장비와 관련된 자격증명 노출 활동으로 설명한다. 특정 CVE나 CVSS 점수는 제시되지 않았으므로 계정·노출면 점검 사안으로 봐야 한다.

Q2. Splunk CVE-2026-20253은 왜 우선 처리해야 하나?

A. CISA가 CVE-2026-20253을 KEV에 넣은 이유는 실제 악용 증거다. CVSS 점수가 제공되지 않았더라도 KEV 등재 자체가 패치와 노출 인스턴스 점검의 우선순위를 높인다.

Q3. 산업제어 권고에서 일반 IT 취약점과 다른 점은 무엇인가?

A. CISA의 AzeoTech, Rockwell, Mitsubishi, Apollo 권고는 코드 실행, 토큰 획득, DoS, 건강정보 노출처럼 결과가 다르다. 현장 장비는 즉시 패치가 어려워 네트워크 분리와 접근 제한도 함께 필요하다.

Q4. DragonForce와 Windows 클리퍼 보도의 공통 위험은 무엇인가?

A. feeds.feedburner.com 보도 기준으로 두 사례 모두 정상처럼 보이는 환경을 악용한다. Backdoor.Turn은 Microsoft Teams relay에 C2를 숨겼고, 클리퍼는 Windows Script Host와 Tor 통신을 이용했다.

Q5. 이후 어떤 발표를 더 봐야 하나?

A. Fortinet 관련해서는 CISA나 Fortinet의 추가 계정 노출 범위, Splunk는 벤더 패치·영향 버전, ICS 권고는 CVSS와 완화책 업데이트가 핵심이다. Microsoft·Symantec·Carbon Black 후속 분석도 탐지 기준 보강에 중요하다.

출처

1. Microsoft Details Windows Clipper Malware Campaign Using USB LNK Worm and Tor-Based C2 - feeds.feedburner.com
2. INC Ransomware Emerges as Major RaaS Threat in 2026 with 830+ Victims Since 2023 - feeds.feedburner.com
3. The Scripts on Your Checkout Page Are Now a PCI DSS Problem - feeds.feedburner.com
4. DragonForce Hackers Abuse Microsoft Teams Relays to Hide Backdoor.Turn C2 Traffic - feeds.feedburner.com
5. CISA Urges Hardening Fortinet Devices After Reports of Credential Exposure - cisa.gov
6. AzeoTech DAQFactory - cisa.gov
7. Apollo Pharmacy Blood Glucose Monitoring System APG-01 BT - cisa.gov
8. Mitsubishi Electric Co.'s MELSEC iQ-F Series FX5-ENET/IP Ethernet Module - cisa.gov
9. Mitsubishi Electric MELSEC iQ-F Series - cisa.gov
10. Schneider Electric Easergy, EcoStruxture, PowerLogic, and Saitel Products - cisa.gov
11. CISA Adds One Known Exploited Vulnerability to Catalog - cisa.gov
12. Rockwell Automation FactoryTalk Historian Site Edition - cisa.gov
13. National Vulnerability Database - NIST
14. Microsoft Security Response Center - Microsoft
15. Google Online Security Blog - Google
16. New Forrester study shows customers who unified with Microsoft Security benefited from 124% ROI - microsoft.com
17. F5 Patches Two Critical NGINX Open Source Flaws Enabling Remote Code Execution - feeds.feedburner.com
18. Orphaned AI Agents: How to Find Hidden Access Risks Inside Your Network - feeds.feedburner.com
19. ThreatsDay Bulletin: Claude Chat Abuse, NastyC2 npm Packages, Device-Code Phishing + 25 More Stories - feeds.feedburner.com

마지막 업데이트: 2026-06-19T10:51:12.174Z