Reddit

ScreenConnect critical flaw exploited in worm-like attacks

ScreenConnect 치명적 취약점, 웜 형태 공격에 실제 악용 — CVSS 9.9

ConnectWise가 원격 지원 소프트웨어 ScreenConnect의 치명적 취약점 CVE-2026-84869(CVSS 9.9)를 긴급 패치했습니다. 해당 결함은 8월 20일부터 실제 공격에 악용되어 왔으며, 변조된 클라이언트를 통해 VBScript 페이로드를 다른 세션으로 전파하는 웜 형태 공격이 관찰되었습니다. CISA는 이 취약점을 KEV 카탈로그에 등록하고 연방 기관에 3일 내 패치를 요구했습니다.

본문

ConnectWise가 원격 접속·지원 소프트웨어인 ScreenConnect에서 치명적 등급의 취약점을 긴급 패치했습니다. CVE-2026-84869로 추적되는 이 결함은 CVSS 점수 9.9/10을 부여받았으며, 인가(authorization) 누락과 부적절한 권한 관리 문제로 설명됩니다. 이미 실제 공격에서 웜과 유사한 방식으로 악용되고 있어 원격 관리 도구(RMM)를 운영하는 조직의 즉각적인 대응이 필요합니다.

취약점의 성격

ConnectWise는 권고문에서 이 버그가 "특정 상황에서 인가나 Host의 확인 없이 활성 원격 세션을 통해 파일이 전송되고 실행될 수 있는 조건을 ScreenConnect 클라이언트에 만들어낸다"고 설명합니다. 즉 공격자가 이미 열려 있는 원격 세션을 이용해 호스트 측 동의 없이 파일을 밀어 넣고 실행까지 할 수 있다는 것으로, 원격 지원 도구의 신뢰 모델을 정면으로 무너뜨리는 유형의 결함입니다.

실제 공격에서의 악용 방식

보안 기업 Huntress는 9월 초 이 취약점이 8월 20일부터 실제 공격에 악용되어 왔다고 경고했습니다. 관찰된 사건에서 공격자는 변조된 ScreenConnect 인스턴스를 사용해 지속성(persistence)을 확보하고 다른 ScreenConnect 클라이언트로 전파되도록 설계된 4개의 VBScript 파일을 배포했습니다. 공격은 사회공학(social engineering)으로 시작됩니다. 피해자를 속여 변조된 ScreenConnect 클라이언트를 실행하게 만들면, 이 클라이언트가 활성 세션을 탐색해 연결된 다른 대상에게 VBScript 페이로드를 밀어 넣는 방식입니다. 한 대의 감염이 연결된 다른 세션으로 번져 나가는 구조라 '웜 형태(worm-like)'라는 표현이 붙었습니다.

패치와 임시 완화 조치

ConnectWise는 ScreenConnect 26.6.5 버전에서 이 결함을 수정했으며, 가능한 빨리 패치를 적용하라고 촉구했습니다. 임시 완화 조치로는 ScreenConnect의 TransferFiles 권한을 비활성화할 것을 권고합니다. 회사는 "ScreenConnect 26.6.5 패치에는 파일 전송 및 파일 실행 동작에 대한 클라이언트와 세션 처리를 강화하는 업데이트가 포함되어 있다"고 밝혔습니다. 커뮤니티에서는 이미 26.6.6 버전대까지 배포가 이뤄지고 있다는 보고도 나옵니다.

CISA KEV 등재와 시사점

미국 사이버보안청 CISA는 금요일 CVE-2026-84869를 알려진 악용 취약점(KEV) 카탈로그에 추가하고, BOD 26-04 지시에 따라 연방 기관에 3일 이내 패치를 요구했습니다. RMM 도구는 조직 전체에 소프트웨어를 배포할 수 있는 높은 권한을 갖기 때문에, 이 계열 취약점은 단일 제품의 문제를 넘어 공급망 수준의 위험으로 취급됩니다. ScreenConnect는 과거에도 심각한 인증 우회 취약점으로 반복적으로 공격 표적이 되어 온 제품입니다.

Reddit 반응

  • @u/Sittadel — RMM 도구에겐 힘든 시기입니다. 가짜 IT 관리자 사기가 기승을 부리는 상황이라 교육만으로 대응하기 버겁다며, 9.9 등급의 ScreenConnect 보안 게시판 링크를 공유했습니다.
  • @u/Hour-Swimmer7140 — RMM을 도메인 컨트롤러처럼 Tier 0으로 취급해야 한다고 주장합니다. 어디서나 신뢰받고 소프트웨어 배포 권한을 갖기 때문에 관리 대상 위에 위치하며, 콘솔 MFA와 정기 주기가 아닌 수일 내 패치를 사람들이 미루는 부분이라고 지적했습니다.
  • @u/derfmcdoogal — 최근 며칠간 받은 ScreenConnect 관련 스팸이 급증한 이유가 설명된다는 반응입니다.
  • @u/IndependentPeanut583 — 지난 몇 달간 ScreenConnect에 대해 들은 소식들이 좋게 보였다는 짧은 반응입니다.
  • @u/raffey_goode — 26.6.5 버전을 확인 즉시 배포했고, 클라우드 환경이라 서버 업데이트 후 에이전트가 자동 업그레이드된다고 설명합니다. 9월 14일 오전 9시(EST) 기준 Intune으로 26.6.6 버전을 강제 배포해 에이전트 갱신을 서둘렀다는 실무 사례를 공유했습니다.

원문: SecurityWeek / 번역·요약: Trawling

원문 보기 ↗토론 보기 ↗