[Security News] CISA, SolarWinds Serv-U 악용 결함 KEV 등재 (6.7)

6월 7일 보안 흐름은 파일 전송 서버, WordPress 플러그인, DD-WRT 기반 라우터, 법률 조직 대상 사회공학 공격으로 갈렸다. 공통 대응은 노출 자산 식별, 패치 적용, 원격 관리 도구와 계정 생성 로그 점검이다.

목차

1. 개요
2. CISA, SolarWinds Serv-U 악용 결함 KEV에 추가
3. Everest Forms Pro, 인증 없는 PHP 코드 주입 악용 관측
4. C0XMO 봇넷, DD-WRT 라우터 결함으로 확산
5. Silent Ransom Group, 가짜 IT 지원 전화로 법률 조직 겨냥
6. 한눈에 보기
7. FAQ
8. 출처

CISA, SolarWinds Serv-U 악용 결함 KEV 등재 (6.7)

개요

• CISA(미 사이버보안·인프라보안청)는 실제 악용 정황이 확인된 SolarWinds Serv-U 서비스 거부 취약점 CVE-2026-28318을 KEV(악용 알려진 취약점 카탈로그)에 추가했다.
• threat-modeling.com은 Everest Forms Pro의 Calculation Addon에서 인증 없는 PHP 코드 주입을 통한 원격 코드 실행(RCE) 악용이 관측됐다고 전했다.
• BleepingComputer는 Fortinet 분석을 인용해 C0XMO 봇넷이 DD-WRT 라우터 결함을 악용하고 경쟁 악성코드를 제거한다고 보도했다.
• BleepingComputer는 Mandiant 보고서를 바탕으로 Silent Ransom Group이 가짜 IT 지원 전화를 이용해 미국 법률 조직을 포함한 수십 곳을 겨냥했다고 전했다.

CISA, SolarWinds Serv-U 악용 결함 KEV에 추가

www.probablypwned.com에 따르면 SolarWinds Serv-U의 CVE-2026-28318은 인증 없이 유발될 수 있는 서비스 거부(DoS) 취약점이다. 공격자는 특정 방식으로 조작한 POST 요청과 Content-Encoding: deflate 처리 흐름을 이용해 파일 전송 인프라의 가용성을 흔들 수 있다. 원격 코드 실행(RCE)처럼 시스템 장악을 직접 뜻하는 결함은 아니지만, 파일 송수신 업무가 중단되면 백업, 협력사 전송, 내부 배포 절차가 동시에 영향을 받을 수 있다.

SolarWinds는 6월 3일 관련 권고를 처음 공개했고, CISA는 6월 5일 이 취약점을 KEV에 올렸다. KEV 등재는 실제 악용 근거가 있다는 뜻이어서 단순한 이론상 취약점과 구분된다. 미국 연방 민간기관에는 6월 19일까지 조치하라는 기한이 붙었고, 민간 기업도 인터넷에 노출된 Serv-U 인스턴스를 우선 점검할 필요가 있다.

운영 관점의 핵심은 Serv-U가 외부와 직접 맞닿는 파일 전송 서버라는 점이다. 이 계층은 방화벽 뒤 업무망보다 먼저 스캔되고, 장애가 나면 보안 장비보다 업무 부서가 먼저 이상을 감지하는 경우가 많다. 대응은 버전 확인, 패치 적용, 외부 노출 범위 축소, 비정상 POST 요청과 반복 장애 로그 점검으로 압축된다.

▸ SolarWinds Serv-U 자세히 확인하기

CVE-2026-28318의 위험은 취약점 유형만으로 판단하기 어렵다. 서비스 거부 취약점은 기밀 정보 유출이나 권한 탈취와 다르게 보일 수 있지만, 파일 전송 서버에서는 가용성 자체가 보안 통제의 일부다. 협력사 업로드, 자동화 배치, 로그 전달, 패치 파일 배포가 같은 서버에 몰려 있다면 짧은 장애도 운영상 손실로 번진다.

타임라인도 대응 우선순위를 높인다. SolarWinds 권고가 6월 3일 나온 뒤 CISA가 6월 5일 KEV에 추가했고, www.probablypwned.com은 6월 7일 이 흐름을 파일 전송 인프라의 active exploitation 위험으로 정리했다. 이 순서는 벤더 권고, 정부기관의 악용 확인, 보안 매체의 운영 위험 해설이 빠르게 이어졌다는 뜻이다. 관리자는 취약점 공개일보다 KEV 등재일을 더 강한 신호로 삼아야 한다.

제공된 자료에는 CVSS 3.1 점수가 포함돼 있지 않다. 따라서 이 브리핑은 점수 단정 대신 확인된 사실, 즉 인증 없는 요청으로 서비스 거부가 가능하고 CISA가 KEV에 올렸으며 연방기관 조치 기한이 6월 19일이라는 점을 기준으로 삼았다. CVSS 점수보다 더 실무적인 기준은 인터넷 노출 여부, 대체 파일 전송 경로의 존재, 장애 발생 시 업무 영향도다.

대응은 복잡하지 않지만 순서가 중요하다. 먼저 자산 목록에서 Serv-U 서버와 버전을 찾아야 한다. 다음으로 외부 공개 인터페이스, 리버스 프록시, WAF 로그에서 비정상 압축 헤더와 반복적인 POST 요청 패턴을 확인한다. 패치가 가능한 서버는 즉시 갱신하고, 즉시 갱신이 어려운 경우에는 접근 제어와 모니터링을 강화해야 한다. 우회책만으로 장기간 버티는 방식은 KEV 등재 취약점의 성격과 맞지 않는다.

이 사안은 파일 전송 제품군의 반복적인 노출 문제도 다시 드러낸다. 파일 전송 서버는 업무 편의를 위해 외부 공개가 잦고, 인증 전 처리 단계에서 입력을 다루는 코드가 많다. 이번 결함도 인증 전 요청 처리라는 지점이 문제의 출발점이다. 공격 세부 페이로드를 공유할 필요는 없지만, 방어자는 인증 전 트래픽이 서비스 안정성에 영향을 줄 수 있다는 점을 로그 정책에 반영해야 한다.

Everest Forms Pro, 인증 없는 PHP 코드 주입 악용 관측

threat-modeling.com은 6월 7일 취약점 인텔리전스 보고서에서 Everest Forms Pro의 원격 코드 실행(RCE) 악용을 다뤘다. 보고서가 인용한 NVD 설명에 따르면 문제는 Calculation Addon의 process_filter() 함수에 있다. 제출된 폼 값이 PHP 코드 문자열에 결합된 뒤 eval() 처리로 이어지는 구조가 인증 없는 PHP 코드 주입 위험을 만들었다.

이 취약점은 WordPress 사이트 운영자에게 직접적인 계정 탈취 위험으로 연결된다. threat-modeling.com은 Wordfence 원격측정에서 악성 WordPress 관리자 계정 생성 시도가 보고됐다고 전했다. 취약한 폼 기능이 공개 페이지에 배치돼 있다면 공격자는 로그인하지 않은 상태에서도 취약한 처리 경로에 도달할 수 있다.

제공 자료의 핵심 CVE 식별자는 CVE-2026-3300으로 정리된다. 공개 데이터에는 CVSS 3.1 9.8 Critical로 분류된 것으로 알려져 있으나, 이 브리핑의 본문 판단은 제공된 6월 7일 자료에 있는 인증 없는 코드 주입, active exploitation, 관리자 계정 생성 정황에 근거한다. 사이트 관리자는 Everest Forms Pro 사용 여부와 Calculation Addon 활성화 여부를 함께 확인해야 한다.

▸ Everest Forms Pro 자세히 확인하기

이 사안의 본질은 폼 플러그인의 입력값이 코드 실행 경로에 닿았다는 점이다. 웹 폼은 외부 사용자가 값을 넣는 정상 통로다. 그런데 계산 기능이 그 값을 PHP 코드 문자열로 합치고 eval()로 처리하면, 입력 검증 실패가 단순 XSS나 저장형 오염을 넘어 서버 측 코드 실행 문제로 커진다. threat-modeling.com이 NVD 설명을 인용해 process_filter() 함수와 Calculation Addon을 특정한 이유가 여기에 있다.

영향 범위는 WordPress 전체가 아니라 Everest Forms Pro와 해당 계산 기능을 쓰는 사이트로 좁혀 봐야 한다. 다만 WordPress 플러그인은 중소 규모 사이트에서 자동 업데이트나 취약점 관리가 느슨한 경우가 많다. 공개 문의 폼, 견적 폼, 예약 폼처럼 로그인 없이 접근 가능한 화면에 취약한 기능이 들어가면 인증 전 공격면이 생긴다. 이 조건은 공격자에게 별도 계정 확보 과정을 줄여 준다.

Wordfence 원격측정에서 악성 관리자 계정 생성이 언급된 점도 중요하다. 원격 코드 실행 이후 가장 실용적인 지속성 확보 방법 중 하나가 새 관리자 계정 생성이다. 파일 하나를 심거나 웹셸을 남기는 방식보다 관리 콘솔 접근은 정상 행위처럼 섞이기 쉽다. 따라서 패치 적용만으로 조사를 끝내면 안 된다. 최근 생성된 관리자 계정, 권한 변경 이력, 플러그인 파일 변경, 알 수 없는 예약 작업을 함께 살펴야 한다.

운영 대응은 세 갈래다. 첫째, Everest Forms Pro 버전과 Calculation Addon 사용 여부를 확인한다. 둘째, 패치가 가능하면 즉시 적용하고, 불가능한 경우 해당 계산 기능 또는 공개 폼을 임시 중단한다. 셋째, WordPress 관리자 계정과 인증 로그를 점검해 이미 침해가 진행됐는지 확인한다. 취약점 악용 사실이 관측된 만큼 단순 예방 조치와 침해 흔적 조사를 분리해 진행해야 한다.

이 취약점은 PoC(개념증명)보다 실제 악용 여부가 더 앞에 놓이는 유형이다. 공개된 공격 코드를 따라 하는 방식의 설명은 방어에 필요하지 않다. 방어자에게 필요한 정보는 취약한 기능의 위치, 인증 필요 여부, 패치 가능성, 이미 만들어진 계정과 파일 변경 흔적이다. 플러그인 취약점 대응에서 이 네 가지를 놓치면 업데이트 이후에도 공격자가 남겨 둔 접근로가 유지될 수 있다.

C0XMO 봇넷, DD-WRT 라우터 결함으로 확산

BleepingComputer는 Fortinet 연구진을 인용해 Gafgyt 계열의 새 변종 C0XMO가 DD-WRT 라우터의 버퍼 오버플로 결함을 악용한다고 보도했다. 이 악성코드는 별도의 Python 스캐너를 사용해 여러 아키텍처와 장치 유형으로 확산하는 구조를 갖췄다. 라우터와 임베디드 장비가 한 번 감염되면 내부 사용자가 이상 징후를 늦게 알아차리는 경우가 많아 장기 노출 위험이 커진다.

BleepingComputer의 6월 7일 보도는 C0XMO의 운영 세부도 설명했다. 악성코드는 숨겨진 파일 시스템 경로에 머물고, cron을 이용해 15분마다 재실행되며, 경쟁 악성코드를 제거한다. 또한 19가지 분산 서비스 거부(DDoS) 방식을 갖춘 것으로 정리됐다. 이는 단순 감염보다 봇넷 내 자원 독점과 가용성 공격 역량을 함께 겨냥한 설계다.

제공 자료에는 DD-WRT 결함의 CVE 번호와 CVSS 점수가 포함돼 있지 않다. 따라서 관리자는 특정 CVE 매칭보다 먼저 장비 식별과 펌웨어 상태 확인을 진행해야 한다. DD-WRT 기반 장비가 외부 관리 인터페이스를 열고 있거나 오래된 빌드를 쓰는 경우에는 원격 접근 제한, 펌웨어 갱신, 비정상 cron 항목과 숨김 경로 점검이 우선이다.

▸ C0XMO 봇넷 자세히 확인하기

C0XMO 사례는 라우터 악성코드의 전형적인 목표를 보여준다. 라우터는 서버처럼 자주 백업되거나 엔드포인트 보안 제품으로 보호되지 않는다. 동시에 인터넷과 내부망의 경계에 있어 스캔, 프록시, DDoS 트래픽 발생 지점으로 쓰기 쉽다. Fortinet 연구진이 Gafgyt 변종으로 분류했다는 점은 기존 IoT 봇넷 계열의 코드와 운영 방식이 이어지고 있음을 뜻한다.

버퍼 오버플로는 입력값이 메모리 경계를 넘어서면서 비정상 동작을 일으키는 취약점 유형이다. DD-WRT 같은 라우터 펌웨어에서 이런 결함이 원격 관리면이나 네트워크 서비스와 연결되면 감염 자동화에 쓰일 수 있다. BleepingComputer가 Python 스캐너를 별도로 언급한 것은 감염 코드와 탐색 코드가 분리돼 있다는 뜻이다. 공격 인프라는 취약 장비를 찾고, 적합한 페이로드를 내려보내는 식으로 확장될 수 있다.

경쟁 악성코드 제거 기능도 방어 관점에서 의미가 있다. 감염 장비에서 다른 악성코드를 제거한다는 사실은 공격자가 장비의 CPU, 메모리, 네트워크 대역폭을 독점하려 한다는 신호다. 이는 피해자에게 겉으로 더 안정된 상태처럼 보일 수도 있다. 경쟁 악성코드가 사라졌다고 장비가 깨끗해진 것이 아니라, 더 지배적인 악성코드가 남았을 가능성을 뜻한다.

15분 간격 cron 재실행은 지속성 확보 방식이다. 관리자가 프로세스를 한 번 종료해도 예약 작업이 남아 있으면 악성 프로세스가 다시 살아난다. 숨겨진 파일 시스템 경로 역시 일반적인 관리 화면만으로는 발견하기 어렵다. 대응은 재부팅이나 프로세스 종료보다 넓어야 한다. 펌웨어 재설치, 설정 초기화, 원격 관리 비활성화, 관리자 비밀번호 교체, 외부에서 보이는 포트 축소가 함께 필요하다.

이 사안에서 일반 사용자와 조직 관리자의 대응은 조금 다르다. 가정이나 소규모 사무실은 라우터 관리 페이지의 외부 접속 기능을 끄고 최신 펌웨어를 적용하는 것이 출발점이다. 조직은 인터넷 노출 자산 스캔 결과에서 DD-WRT 장비를 따로 분류하고, DDoS 트래픽 징후와 비정상 outbound 연결을 확인해야 한다. 장비 수가 적더라도 라우터는 네트워크 경계에 놓여 있어 침해 영향이 작지 않다.

Silent Ransom Group, 가짜 IT 지원 전화로 법률 조직 겨냥

BleepingComputer는 Mandiant 보고서를 다루며 UNC3753이 2026년 1월부터 5월까지 미국 조직 수십 곳을 겨냥했다고 전했다. 이 그룹은 Luna Moth, Chatty Spider, Silent Ransom Group이라는 이름으로도 알려져 있다. 보도에 따르면 표적에는 법률 조직이 포함됐고, 공격 흐름은 기술 취약점보다 사람과 업무 절차를 겨냥한 사회공학에 가깝다.

공격자는 청구서 관련 미끼, 보이스 피싱, 가짜 IT 헬프데스크 전화, 화면 공유를 조합했다. 이후 원격 모니터링·관리(RMM) 도구, WinSCP, Rclone 등을 이용해 데이터를 빼내는 방식이 언급됐다. 일부 의심 사례에서는 물리적 사무실 접근 가능성도 거론됐다. 제공 자료는 이를 확정된 침입 방식이 아니라 Mandiant 보고서에 포함된 관측 정황으로 구분한다.

이 캠페인은 패치만으로 막기 어려운 보안 문제다. 사용자가 정상 업무 도구처럼 보이는 RMM 설치를 승인하면 전통적인 취약점 관리 체계 밖에서 접근 통로가 만들어진다. 법률 조직처럼 민감 문서와 의뢰인 정보를 다루는 분야에서는 헬프데스크 본인 확인 절차, 화면 공유 승인 정책, 대용량 전송 도구 사용 로그가 핵심 방어 지점이 된다.

▸ Silent Ransom Group 자세히 확인하기

Silent Ransom Group 사례는 랜섬웨어라는 이름이 반드시 파일 암호화를 뜻하지 않는다는 점을 보여준다. 현대 갈취형 공격은 데이터를 빼낸 뒤 공개 압박을 가하는 방식으로 진행될 수 있다. Mandiant가 UNC3753의 별칭으로 Luna Moth, Chatty Spider, Silent Ransom Group을 함께 제시한 것은 같은 활동군이 여러 보안 업체와 보도 체계에서 다르게 불려 왔다는 뜻이다. 이름보다 중요한 것은 공격 절차다.

2026년 1월부터 5월까지 수십 개 미국 조직이 표적이 됐다는 기간과 규모는 캠페인이 일회성 전화 사기가 아니라 반복 운영됐음을 시사한다. 청구서 미끼는 법률·전문서비스 조직에서 자연스럽게 열람될 가능성이 높은 소재다. 여기에 가짜 IT 지원 전화가 붙으면 피해자는 자신이 보안 절차를 따르고 있다고 착각할 수 있다. 공격자는 이 지점을 이용해 화면 공유와 원격 관리 도구 설치로 이동한다.

RMM 도구는 양면성을 가진다. 실제 IT 지원 업무에서는 원격 문제 해결에 필요하지만, 공격자가 설치를 유도하면 지속적인 원격 접근 수단이 된다. WinSCP와 Rclone 역시 정상 파일 전송 도구지만 대량 반출에 악용될 수 있다. 따라서 탐지 기준은 도구 이름만으로 충분하지 않다. 누가 요청했는지, 어떤 세션에서 설치됐는지, 평소와 다른 대상지로 대량 전송이 있었는지가 함께 봐야 할 기준이다.

일부 의심 사례에서 물리적 사무실 접근 가능성이 언급된 점은 절차 보안의 범위를 넓힌다. 이 대목은 확정 사실로 단정할 수 없지만, 민감 자료를 다루는 조직에서는 방문자 관리, 임시 출입증, 회의실 단말기 접근 제한을 기술 통제와 함께 다뤄야 한다. 보안 사고가 원격 이메일에서 시작돼도 현장 절차가 약하면 다른 경로가 생길 수 있다.

실무 대응은 직원 교육보다 구체적인 승인 절차에 가깝다. 헬프데스크는 먼저 전화를 걸어 사용자를 설득하는 방식이 아니라, 사내 티켓과 알려진 연락 채널을 통해 신원을 확인해야 한다. 사용자는 화면 공유 요청을 받으면 요청자, 티켓 번호, 작업 목적을 확인해야 한다. 보안팀은 RMM 설치 이벤트, 새 원격 세션, WinSCP와 Rclone의 비정상 실행, 대량 업로드 목적지를 상관 분석해야 한다. 이 캠페인은 기술 취약점이 없어도 계정과 절차가 공격면이 될 수 있음을 보여준다.

한눈에 보기

사실	발행처	출처
CISA는 SolarWinds Serv-U CVE-2026-28318을 KEV에 추가했다	www.probablypwned.com	probablypwned.com
미국 연방 민간기관의 Serv-U 조치 기한은 2026년 6월 19일로 제시됐다	www.probablypwned.com	probablypwned.com
Everest Forms Pro의 Calculation Addon에서 인증 없는 PHP 코드 주입이 보고됐다	threat-modeling.com	threat-modeling.com
Wordfence 원격측정은 악성 WordPress 관리자 계정 생성 시도를 포착했다	threat-modeling.com	threat-modeling.com
Fortinet은 C0XMO가 DD-WRT 버퍼 오버플로를 악용한다고 보고했다	www.bleepingcomputer.com	bleepingcomputer.com
C0XMO는 15분 간격 cron 재실행과 경쟁 악성코드 제거 기능을 갖췄다	www.bleepingcomputer.com	bleepingcomputer.com
Mandiant는 UNC3753이 2026년 1~5월 미국 조직 수십 곳을 겨냥했다고 밝혔다	www.bleepingcomputer.com	bleepingcomputer.com

FAQ

Q1. CVE-2026-28318의 핵심 취약점 유형은 무엇인가?

A. www.probablypwned.com에 따르면 SolarWinds Serv-U의 CVE-2026-28318은 인증 없는 요청으로 서비스 거부를 유발할 수 있는 결함이다. CISA는 실제 악용 근거를 바탕으로 6월 5일 KEV에 추가했다.

Q2. Everest Forms Pro 사용자는 어떤 범위를 먼저 확인해야 하나?

A. threat-modeling.com은 Calculation Addon의 process_filter() 함수와 인증 없는 PHP 코드 주입을 지목했다. 관리자는 Everest Forms Pro 설치 여부, 계산 기능 사용 여부, 최근 생성된 관리자 계정을 함께 확인해야 한다.

Q3. C0XMO 감염 대응에서 단순 재부팅이 부족한 이유는 무엇인가?

A. BleepingComputer는 C0XMO가 숨겨진 경로에 머물고 cron으로 15분마다 재실행된다고 전했다. 프로세스 종료만으로는 지속성 항목이 남을 수 있어 펌웨어 갱신과 설정 점검이 필요하다.

Q4. Silent Ransom Group 사안은 취약점 패치와 어떻게 다른가?

A. BleepingComputer가 전한 Mandiant 보고서의 핵심은 가짜 IT 지원 전화, 화면 공유, RMM 도구 유도다. 이는 CVE 패치보다 신원 확인 절차와 원격 도구 실행 감시가 더 직접적인 방어선이다.

Q5. 후속으로 봐야 할 신호는 무엇인가?

A. Serv-U는 6월 19일 조치 기한 전후의 추가 KEV·벤더 권고가 중요하다. Everest Forms Pro는 Wordfence 원격측정의 관리자 계정 생성 추세, C0XMO는 DD-WRT 결함의 CVE 식별 공개 여부가 관찰 지점이다.

출처

1. C0XMO botnet spreads via DD-WRT router flaw, kills rival malware - www.bleepingcomputer.com
2. Silent Ransom Group targets law firms with fake IT support calls - www.bleepingcomputer.com
3. CISA Adds SolarWinds Serv-U Flaw to KEV After Active Exploitation - www.probablypwned.com
4. Vulnerability Intelligence Report — June 7, 2026: Everest Forms Pro RCE - threat-modeling.com

마지막 업데이트: 2026-06-08T10:22:11.672Z