CISA, Cisco·Chrome·Arista 취약점 KEV 등재…긴급 대응 압박

CISA가 Cisco, Chrome, Arista 결함을 KEV 목록에 추가하면서, 이미 공격이 진행 중인 취약점에 대한 연방 수준의 우선순위가 다시 설정되었다.

• CISA는 Cisco, Chrome, Arista의 결함을 Known Exploited Vulnerabilities Catalog에 추가했다. 이 조치는 단순한 기술 공지가 아니라, 실제 악용이 확인된 취약점을 연방 기관이 최우선으로 처리하도록 강제하는 행정 신호이며, CISA, KEV Catalog, active exploitation이 같은 문맥으로 묶인다.
• 핵심은 취약점 존재 자체가 아니라, 공격자가 이미 이를 활용하고 있다는 점이다. Chrome처럼 광범위한 사용자 기반을 가진 제품과 Cisco, Arista처럼 네트워크 장비 비중이 큰 제품이 동시에 포함되면, 공격 표면이 단말과 인프라 전반으로 확장되며 한국 공공망도 동일한 우선순위 체계를 적용해야 한다.
• 정량적 수치는 기사에서 명시된 “Cisco, Chrome, Arista” 3개 계열 취약점의 동시 등재다. 여러 벤더가 한꺼번에 KEV에 오르는 것은 개별 패치가 아니라, 국가 단위 자산 관리와 노출도 기반 우선순위 정리가 필요하다는 뜻이다.
• 정책적으로 이 사례는 미국이 기술 공지가 아니라 운영 명령에 가까운 방식으로 취약점 대응을 표준화하고 있음을 보여준다. 한국도 국가망, 공공기관, 지방정부, 산하기관에 대해 동일한 방식의 실시간 우선순위 체계를 마련해야 한다.

공공부문은 취약점 공지 수신만으로 끝내면 안 된다. CISA식 KEV 운영을 참고해, 한국도 중요 자산별 강제 점검과 패치 기한을 제도화해야 한다.

주요 용어: CISA(미국 사이버보안·기반시설보안청), KEV Catalog(실제 악용된 취약점 목록), active exploitation(실제 공격이 진행 중인 상태)

출처: The Hacker News