CISA, 4개 취약점 KEV 지정…연방 기관 패치 마감 2026년 5월 못 박아

CISA의 exploited 취약점 강제 패치 명령이 미국 연방 보안 표준을 강화하며 한국 정부의 공급망 보안 규제 도입을 촉구한다.

• 미국 사이버보안인프라보안국(CISA)은 실제 공격에 악용된 4개의 심각한 취약점을 Known Exploited Vulnerabilities(KEV) 카탈로그에 추가하며 2026년 5월까지 연방 기관의 패치 적용을 의무화하는 강력한 행정 조치를 시행한다.
• 이번 지정은 소프트웨어 공급망과 엔드포인트 보안의 취약점이 국가 안보를 위협하는 수준에 이르렀음을 확인하며 글로벌 기업들의 보안 업데이트 주기를 단축시키는 압박을 가한다.
• CISA의 KEV 목록 확대는 Volt Typhoon 같은 국가 배후 그룹의 은밀한 네트워크 침투를 차단하기 위한 선제적 대응으로 평가되며 국제 표준화된 취약점 관리 체계를 촉진한다.
• 연방 기관 대상 패치 데드라인 설정은 민간 부문으로 확산되어 빅테크 기업들의 플랫폼 보안 책임을 강화하고 한국의 공공 인프라 보호 정책에 벤치마킹 포인트를 제공한다.
• 이 조치는 AI 기반 위협 탐지 도구의 도입을 가속화하며 CrowdStrike나 Palo Alto 같은 EDR/XDR 리더들의 시장 지배력을 더욱 공고히 하는 결과를 가져온다.

한국 정부는 CISA 모델을 참고해 국내 KEV 유사 시스템을 도입하고 공공기관 패치 의무화를 통해 공급망 위협에 선제 대응해야 하며 보안 산업 육성 기회를 포착하라.

주요 용어: KEV(Known Exploited Vulnerabilities, 실제 악용된 취약점 목록), CISA(미국 사이버보안인프라보안국, 연방 보안 정책 주도 기관)

출처: The Hacker News