팔로알토 ‘GlobalProtect’ VPN 취약점 악용…랜섬웨어 내부망 침투 통로 전환

팔로알토 ‘GlobalProtect’ VPN 인증우회 취약점, 랜섬웨어 연계 본격화로 정부·공공망 방어체계 재점검 급부상

• 팔로알토 네트웍스 PAN-OS 기반 ‘GlobalProtect’ 포털·게이트웨이에서 인증 오버라이드 쿠키 검증 실패로 CVE-2026-0257 인증우회가 가능해지며, 랜섬웨어 조직이 이를 실사용 VPN처럼 악용해 내부망 진입 통로로 삼고 있다.
• 이 취약점은 PAN-OS 10.2·11.1·11.2·12.1과 클라우드 VPN인 Prisma Access 일부 릴리스에 영향을 주며, 쿠키용 인증서와 HTTPS 인증서를 공유한 설정에서 원격 비인가 사용자가 별도 악성코드 없이도 VPN을 통해 바로 조직 내부 시스템에 접속하는 구조적 위험을 만든다.
• 공개된 CVE-2026-0257은 치명도 9점대 고위험으로 분류되고 공개 후 4일 만에 실제 공격 시도가 포착됐으며, 미국 CISA가 KEV 목록에 올려 연방기관에 6월 1일까지 패치 완료를 명령하는 등 핵심 인프라 대상 위협으로 간주해 한국 공공·기간망에서도 동급 수준의 시급한 조치가 요구된다.
• 인증만 우회하면 합법 VPN 사용자로 위장해 내부 자산에 접근할 수 있는 결함 특성상, 킬린(Qilin) 등 랜섬웨어 조직이 취약 GlobalProtect를 노려 데이터 탈취와 암호화 공격을 병행하는 전술로 확산될 가능성이 크며, 이는 한국의 방화벽·VPN 의존형 보안 모델을 제로트러스트·세분화 접근통제로 전환해야 할 정책적 압력으로 작용한다.
• 한국 내 팔로알토 및 유사 설계 VPN 사용 공공기관·국방·기간시설에서 패치 지연과 설정 오남용이 중첩될 경우 국가 중요정보가 랜섬웨어 협상용 인질로 전환될 수 있어, 정부 차원의 취약 VPN 전수조사·최소설정 가이드 의무화와 국산 보안 제품의 쿠키·인증서 무결성 검증 기준 상향을 산업 육성 정책과 연계해 추진할 필요가 크다.

정부는 팔로알토 GlobalProtect 취약 설정 여부를 신속히 진단해 패치와 기능 비활성화를 병행하고, 공공 VPN 전반을 제로트러스트 관점에서 재설계하는 중장기 로드맵을 즉시 마련할 필요가 있다.

주요 용어: GlobalProtect(팔로알토 네트웍스의 엔터프라이즈 VPN·원격접속 솔루션), 인증 오버라이드 쿠키(재로그인 없이 VPN 접속을 유지하게 하는 세션 유지용 쿠키로, 검증 실패 시 인증우회 통로가 되는 구성요소)

출처: BleepingComputer