BeyondTrust Remote Support 취약점 CVE-2026-102764, 제로데이로 악용돼 CISA KEV 카탈로그에 추가

BeyondTrust가 과거 Bomgar로 알려졌던 Remote Support 제품의 치명적 취약점 CVE-2026-102764에 대한 수정 사항을 공개했다. 이 취약점은 26.2.3 및 이전 버전에 영향을 미친다. 미국 사이버보안·인프라보안국(CISA)은 10월 16일 이 결함을 ‘알려진 악용 취약점’(KEV) 카탈로그에 추가하고, 자체 호스팅 어플라이언스를 운영하는 조직에 즉각 조치할 것을 촉구하는 지침을 발표했다. Mandiant에 따르면 중국 연계로 의심되는 스파이 행위자가 공개 발표보다 훨씬 앞선 8월 하순 이 버그를 제로데이로 악용했다.

Mandiant에 따르면 BeyondTrust는 10월 15일 이 문제를 공개했다. CVSS 점수를 9.3으로 보도한 The Hacker News는 Remote Support 내부 구성 요소가 수신 메시지의 출처를 제대로 확인하지 않아 특정 조건에서 어플라이언스상의 파일 작업이 가능해질 수 있다는 벤더의 설명을 인용했다. CISA는 이 결함을 인증 우회로 설명하는 반면, Mandiant는 인증되지 않은 원격 공격자가 이를 이용해 파일을 조작할 수 있으며, 잠재적으로 호스트 수준의 제어권을 얻어 장치가 저장하거나 중개하는 모든 자격 증명에 접근할 수 있다고 밝혔다. 수정 사항은 권고문 BT26-05에 따른 패치 BT26-05-RS다. Mandiant는 BeyondTrust가 10월 9일 모든 SaaS 테넌트에 이를 적용했다고 밝혔으며, 따라서 호스팅 고객은 어플라이언스 업데이트가 필요 없지만 자격 증명 및 구성 검토는 여전히 필요하다. 24.3.1 이상 버전의 자체 호스팅 시스템은 패치를 설치하거나 자동 업데이트를 통한 적용 여부를 확인해야 하며, 그보다 오래된 릴리스는 먼저 지원되는 버전으로 업그레이드해야 한다. Mandiant는 업그레이드가 이전의 노출을 해소하지는 않는다고 지적했다.

Mandiant는 침해 사고 대응 과정에서 이 활동을 발견했다고 밝혔으며, GTIG는 이를 과거 UNC5221로 추적되던 그룹 ARMORY CASTLE의 소행으로 보고 있다. 행위자는 악용 이후 Mandiant가 SAWFLY라고 부르는 난독화된 PHP 웹셸을 설치하고, SUID 권한을 가진 시스템 셸 사본을 만들어 root 권한을 획득했으며, BeyondTrust 내장 명령줄 도구로 저장된 자격 증명을 덤프하려 시도했다. 또한 sudoers 템플릿을 변경하는 시작 스크립트를 추가해 재부팅과 구성 초기화 이후에도 무제한 root 접근 권한이 유지되도록 했다. Mandiant는 이 밖에도 어플라이언스의 HAProxy 구성을 수정해 인터넷에서 접근 가능하게 만든 BARECLAW라는 맞춤형 SOCKS5 터널러, 반복적인 로그 삭제, 그리고 Jump Item 권한이 상향된 관리자 계정의 악용을 설명했다. 이를 통해 행위자는 내부 엔드포인트로 원격 세션을 열고 소프트웨어 인벤토리 등의 문서를 복사할 수 있었다.

CISA는 패치 적용 외에도 Remote Support 어플라이언스의 외부 노출을 필요한 서비스로 제한하고, 관리 인터페이스를 신뢰할 수 있는 네트워크에 두며, 네트워크 및 메모리 포렌식을 수행할 것을 권고했다. 침해가 의심되는 경우 CISA는 어플라이언스를 격리하고, 스냅샷 또는 포렌식 이미지를 보존하며, 로그를 SIEM으로 전송하고, 낯선 권한 세션이나 스크립트, 로그 공백을 찾아볼 것을 권장한다. 이후 정상으로 확인된 상태에서 재구축하고, 패치를 적용하며, 장치가 보유한 모든 자격 증명을 교체하고, 활성 지원 세션을 취소하며, 권한 있는 계정의 새로운 MFA 등록을 확인할 것을 요구한다. The Hacker News는 연방 민간 기관의 조치 기한이 10월 19일이라고 보도했으며, 캐나다 사이버보안센터(Cyber Centre)도 이 결함에 관한 권고문을 발표했다.

The Hacker News에 따르면 BeyondTrust의 타임라인은 자체 호스팅 어플라이언스 1대에 대한 제로데이 악용이 8월 29일로 거슬러 올라가며, 벤더가 다른 보안 장비 제공업체의 침해 사실이 9월 27일 공개된 후 유사한 활동을 탐색하기 시작했음을 보여준다. GTIG는 ARMORY CASTLE이 적어도 2023년 10월부터 활동해 왔으며 과거에도 엣지 어플라이언스를 악용했다고 밝혔다. Mandiant는 이 그룹이 과거 결함이 공개되면 광범위하고 기회주의적인 악용으로 전환해 왔다고 경고하며, 2024년 Ivanti 취약점 CVE-2023-46805 및 CVE-2024-21887 이후에도 그러한 양상이 나타났다고 지적했다. 아울러 악용 기간 동안 인터넷에 노출된 모든 취약한 어플라이언스는 “검토가 완료될 때까지 잠재적으로 침해된 것으로 간주해야 한다”고 말했다.