네덜란드 NCSC, 체크포인트 VPN 치명적 취약점 악용 임박 경고

네덜란드 NCSC, 체크포인트 VPN 치명적 취약점 악용 임박 경고

• 네덜란드 국가 사이버보안센터 NCSC는 Check Point Security Gateway와 VPN 제품의 CVE-2026-85102, CVE-2026-85103 취약점 악용이 임박했다고 평가하며, 모든 운영 조직에 보안 패치를 즉시 적용하라고 권고한다.
• CVE-2026-85102는 원격접속·사이트간 VPN 협상 과정의 인증서 데이터 검증 오류로, 인증되지 않은 공격자가 VPN 게이트웨이에 임의 코드 실행을 할 수 있어 네트워크 내부로 직접 진입하는 원격 침입 경로를 제공한다.
• CVE-2026-85103는 VPN 인증서 ASN.1 디코딩 과정의 힙 오버플로 취약점으로, Security Gateway뿐 아니라 Security Management Server까지 공격 대상이 되어 방화벽 정책과 중앙 관리 서버가 동시에 장악될 수 있다는 점이 강조된다.
• 두 취약점은 CVSS 9.8로 최고 수준 위험도로 평가되며, R80·R80.40·R81·R81.20·R82·R82.10 등 다수 버전의 Security Gateway와 Spark Firewall에 영향을 주고, 2026년 9월 10일 NCSC 권고와 함께 Check Point 패치가 공개됐다.
• NCSC는 공개 PoC가 없지만 대규모 자동화 악용 시도가 “단기간 내” 발생할 것이라 경고하며, 유럽 NCSC·CERT-EU·CISA 등이 연동된 경보 체계를 가동해 핵심 인프라, 정부 기관, 기업의 VPN 구성 점검과 패치 준수 여부를 공동 모니터링하고 있다.
• 글로벌 VPN 게이트웨이 취약점이 반복되며 경계선 보호 모델의 한계가 드러나므로, 한국은 Check Point 등 특정 벤더 의존도를 상시 파악하고 공공·기간망 VPN 패치 SLA, 벤더 다변화, 제로트러스트 네트워크 전환 로드맵을 정책 수준에서 명문화할 필요가 있다.

해당 사건은 경계 보안 장비 하나의 결함이 국가·기업 전체 네트워크로 확산될 수 있음을 보여준다. 한국 정책 담당자는 공공·기간망 VPN 취약점 대응 속도를 관리 지표로 올리고, 벤더 의존 리스크와 제로트러스트 전환 계획을 연계해 단계별로 의무화해야 한다.

주요 용어: CVE(공개 취약점 식별 번호 체계), CVSS(취약점 심각도 점수 체계), VPN(가상사설망, 외부에서 내부망에 안전하게 접속하는 통신 방식), 제로트러스트(네트워크 안팎을 구분하지 않고 모든 접속을 지속적으로 검증하는 보안 모델)

출처: BleepingComputer