CISA, 마이크로소프트·리눅스·시트릭스·레드햇 제품 6개 취약점 악용 경고
CISA의 KEV 목록 추가가 수년 된 취약점 재악용과 패치 지연 리스크를 동시에 드러내며, 중요 인프라 패치 거버넌스 재점검을 촉구하는 신호로 작용한다.
- CISA가 8월 26일 하루에 6개 취약점을 Known Exploited Vulnerabilities 목록에 추가하며, 연방기관과 중요 인프라 운영 조직에 신속한 패치를 촉구한 것이 이번 조치의 출발점이다.
- 새로 추가된 취약점 중 CVE-2026-8452는 NetScaler ADC·NetScaler Gateway의 메모리 오버플로우 문제로, SSL VPN·ICA Proxy·RDP Proxy 등 게이트웨이 기능을 마비시켜 서비스 거부와 트래픽 차단을 유발할 수 있다.
- 또 다른 핵심인 CVE-2019-1068은 2019년 발견된 Microsoft SQL Server 원격 코드 실행 취약점으로, 특수 조작 쿼리만으로 Database Engine 계정 권한으로 악성 코드를 실행하게 해 데이터 탈취와 추가 침해 발판을 제공한다.
- CVE-2026-8452와 CVE-2019-1068은 모두 CVSS 8.8 등급의 고위험 취약점으로, Citrix는 6월 말 패치를 배포했고 Microsoft는 약 7년 전부터 패치를 제공했음에도 미적용 시스템이 남아 실제 공격에 악용되고 있다.
- CISA는 두 고위험 취약점에 대해 8월 29일까지 패치를 완료하도록 요구하고, 나머지 수년 된 취약점들도 9월 9일까지 조치하도록 기한을 못 박아, 연방 차원의 패치 마감일 설정이 규제성 통제수단으로 자리 잡았음을 보여준다.
- 수년 전 패치가 이미 제공된 취약점들이 KEV에 재차 올라온 상황은 한국의 공공·기간망도 SQL Server·Citrix 게이트웨이 등 상용 제품의 패치 준수 현황을 전수 점검하고, 법·지침에 패치 기한과 책임 주체를 명확히 규정할 필요성을 시사한다.
연방기관처럼 패치 기한을 명문화한 KEV형 관리체계를 도입하고, SQL Server·원격접속 게이트웨이 등 핵심 상용 제품군을 별도 관리대상으로 지정해 점검·보고를 의무화하는 방안을 서둘러 검토할 필요가 있다.
주요 용어: CISA(미국 사이버보안·인프라 보안국, 연방·중요 인프라 보호 기관), KEV 목록(실제 악용이 확인된 취약점을 모아 패치 시한을 지정하는 CISA 관리 목록)
