체크포인트 스마트콘솔 인증우회, 패치 전부터 이미 뚫렸다

이스라엘 보안업체 체크포인트 소프트웨어(Check Point Software)가 자사 보안관리 제품에서 발견된 치명적 인증우회 취약점이 실제 공격에 악용된 사실을 확인했다. 문제의 결함은 CVE-2026-16232로, 스마트콘솔(SmartConsole) 로그인 과정에서 인증되지 않은 공격자가 애플리케이션 로그인 토큰을 탈취해 관리서버에 관리자 권한으로 접근할 수 있게 하는 취약점이다. 체크포인트는 7월22일(현지시각) 관련 보안 권고문을 발표했고, 같은 날 미국 사이버보안·인프라보안국(CISA)이 이 결함을 알려진 악용 취약점(KEV) 목록에 등재했다. CISA는 연방기관에 7월25일까지 사흘 안에 패치를 완료하라고 명령했다. 체크포인트는 이번 결함으로 소수 고객이 공격 표적이 됐다고 밝히며 해당 고객들에게 이미 통지를 마쳤다고 전했다.

관리서버까지 뚫리는 인증우회, 어떻게 가능했나

CVE-2026-16232는 부적절한 인증(CWE-287)으로 분류된 결함이다. 체크포인트 벤더 기준 CVSS 점수는 9.3, CISA 기준으로는 9.1에 달하는 치명적 등급이다. 인증되지 않은 원격 공격자가 스마트콘솔 로그인 과정에서 애플리케이션 로그인 토큰을 얻어낸 뒤, 이 토큰으로 관리서버에 완전한 관리자 권한으로 인증할 수 있다. CVE.org에 등록된 결함 설명에 따르면 공격에 성공하면 보안 정책과 보안 설정을 임의로 변경할 수 있다.

다만 모든 환경이 위험한 것은 아니다. 원격 악용이 성립하려면 관리서버(Management Server) IP가 인터넷에 노출돼 있고, 신뢰 클라이언트(Trusted Clients)를 제한하지 않는 특정 구성이어야 한다. 체크포인트 연구 부문 부사장 로템 핀켈스타인(Lotem Finkelstein)은 “이는 관리 서버가 IP 제한 없이 인터넷에 직접 노출된 매우 특정한 구성에서만 영향을 받는다”고 설명했다.

이번 보안 권고문은 CVE-2026-16232 외에 두 건의 결함을 함께 다뤘다. CVE-2026-62144는 보안관리(Security Management)와 멀티도메인 보안관리(Multi-Domain Security Management)에 영향을 주는 인증우회 취약점으로, 관리서버에서 관리자 명령을 실행할 수 있게 하며 보안 게이트웨이에서 run-script, exec-command 실행까지 가능하다. CVSS 점수는 벤더 기준 9.3, CISA 기준 9.1이며 현재까지 실제 악용 사례는 확인되지 않았다. CVE-2026-62145는 가이아(Gaia) 포털 웹UI의 권한 관리 결함으로, 읽기 전용 권한만 가진 인증된 공격자가 루트 권한으로 명령을 실행할 수 있게 한다. CVSS 점수는 7.5로 상대적으로 낮고, 방화벽과 멀티도메인 관리·로그서버 제품에 영향을 준다. 이 결함 역시 아직 실제 악용은 보고되지 않았다.

“일부 고객 표적됐다”…실제 공격은 패치 전부터

체크포인트에 따르면 이번 결함들은 정기적인 내부 점검 과정에서 발견됐다. 후속 분석 결과 CVE-2026-16232는 패치가 배포되기 전부터 이미 실제 공격에 악용되고 있었던 것으로 나타났다. 블리핑컴퓨터(BleepingComputer)는 이를 제로데이 취약점으로 규정했다. 패치가 나오기 전부터 이미 공격에 쓰였다는 뜻이다.

핀켈스타인 부사장은 “정기 BLAST 점검 중 몇 가지 취약점을 발견했다. 이후 정밀 분석을 거쳐 이 중 하나가 실제 공격에 악용돼 소수 고객에 영향을 미친 사실을 확인했다”고 밝혔다. 그는 영향을 받은 고객 모두에게 이미 통지를 마쳤으며, 스마트-1 클라우드(Smart-1 Cloud) 고객은 이미 보호되고 있다고 덧붙였다. 다만 공격의 구체적 성격이나 최초 발견 시점은 공개하지 않았다.

체크포인트가 공개한 침해 지표(IoC)에는 151.241.99.207, 151.241.99.233, 158.62.198.182, 192.142.10.99, 139.28.37.250, 194.213.18.137 등 6개 IP 주소가 포함됐다. 관리자는 스마트콘솔의 로그·모니터링(Logs & Monitor) 메뉴에서 감사 로그(Audit Logs View)를 열고 “Authentication method: application token” 쿼리로 검색해 침해 여부를 확인할 수 있다. 위 IP 주소들과의 송수신 기록이 있다면 실제 공격을 받았을 가능성이 있다.

CISA 사흘 시한, 왜 이렇게 급했나

CISA는 이 결함을 KEV 목록에 올리면서 연방기관에 구속력 있는 운영지침 BOD 26-04에 따라 7월25일(토요일, 현지시각)까지 패치를 완료하도록 명령했다. 보안 권고 발표일로부터 사흘밖에 주어지지 않은 셈이다. CISA는 “이런 유형의 취약점은 악의적 사이버 행위자들이 자주 쓰는 공격 경로이며 연방 시스템 전체에 상당한 위험을 초래한다”고 경고했다.

BOD 26-04는 미국 연방 행정기관에만 적용되는 지침이지만, 보안관리 서버가 뚫리면 그 아래 관리되는 모든 게이트웨이의 정책까지 흔들릴 수 있다는 점에서 민간 기업들에도 경각심을 주는 사례로 꼽힌다. 보안관리 서버는 신뢰 구조의 최상단에 위치한다. 공격자가 관리자 권한을 얻으면 관리 대상 게이트웨이 전반의 보안 정책 변경, 관리자 권한 조작, VPN 설정 변경, 로깅·모니터링 기능 무력화까지 가능해진다.

지금 관리자가 해야 할 일

체크포인트는 즉시 패치를 적용할 수 없는 관리자를 위해 체크포인트 하드닝 모범사례 가이드(Hardening Best Practices Guide)를 따르라고 권고했다. 신뢰 클라이언트를 신뢰할 수 있는 IP 주소나 서브넷으로 제한하고, 승인되지 않은 IP 주소의 관리 접근을 차단해야 한다는 것이다. 관리서버 IP를 인터넷에 직접 노출하지 않는 것이 가장 근본적인 방어책이다.

이번 사례는 보안 제품 자체가 공격 표적이 되는 최근 흐름을 다시 한번 보여준다. 관리서버처럼 조직 전체 보안 정책을 좌우하는 시스템이 뚫리면 그 파급력은 개별 서버 하나가 뚫리는 것보다 훨씬 크다. 체크포인트를 도입한 기업들은 관리서버 노출 여부를 재점검하고, 공개된 IoC를 기준으로 침해 여부를 신속히 확인할 필요가 있다.