팔로알토 VPN 취약점, 패치 5개월 뒤에도 랜섬웨어 표적
패치 5개월 뒤에도 팔로알토 VPN 취약점을 노리는 랜섬웨어 조직
- Qilin·Settra 랜섬웨어 조직이 CVE-2026-0257로 무단 VPN 세션을 만들어 내부망에 진입하며, ReliaQuest가 10월 9일 활동을 경고했다.
- CVE-2026-0257은 PAN-OS GlobalProtect·Prisma Access의 인증 우회 결함으로, 공격자가 정상 원격근무처럼 VPN 접근을 숨길 수 있다.
- 팔로알토네트웍스는 5월 13일 결함을 공개하고 수정 버전을 배포했지만, Cobalt Strike·BloodHound·SharpHound 사용이 뒤따랐다.
- 팔로알토는 CVSS 7.8과 최고 긴급도를 부여했고 NVD는 9.1로 평가했으며, CISA는 5월 29일 KEV에 등록해 6월 1일까지 조치를 요구했다.
- Rapid7·Unit 42·Arctic Wolf가 5~7월 악용을 잇달아 관측한 만큼, 패치 전 만들어진 접근권한과 계정 탈취를 별도로 점검해야 한다.
- 국내 기관은 외부접속 장비의 CVE-2026-0257 노출과 기존 VPN 세션을 즉시 대조하고, 보안산업은 세션감시·침해추적 서비스를 국가 조달 역량으로 키워야 한다.
정책 담당자는 VPN 장비의 패치 여부만 확인하지 말고 기존 세션·인증서·계정을 함께 폐기·재검증하도록 점검 기준과 보고 의무를 강화해야 한다.
주요 용어: 인증 우회(정상 인증 절차를 건너뛰는 결함), KEV(실제 악용 취약점 목록), VPN(외부에서 내부망에 접속하는 통로)
