실제 공격에 악용된 BeyondTrust 원격지원 취약점, 즉시 패치 필요

오늘의 핵심

BeyondTrust Remote Support 26.2.3 이하의 치명적 취약점 CVE-2026-102764가 실제 공격에 악용된 사실이 확인됐다. 자체 구축형 시스템 운영자는 패치 적용과 함께 과거 침해 흔적 및 관리자 자격증명을 점검해야 한다.

확인된 사실

• CVE-2026-102764는 BeyondTrust Remote Support 내부 구성요소가 메시지 출처를 충분히 검증하지 않아 인증되지 않은 원격 공격자의 파일 조작 또는 업로드를 허용할 수 있는 취약점이다. 근거 [1] [2]
• 영향 범위는 BeyondTrust Remote Support 26.2.3 이하이며 CVSS 4.0 기준 점수는 9.3이다. 근거 [1] [2]
• 이 취약점은 공개 전에 실제 공격에 악용됐고, 조사 과정에서 웹셸 설치와 로그 삭제 등 침해 행위가 확인됐다. 근거 [1] [2]
• 24.3.1~26.2.3 자체 구축형 환경은 BT26-05-RS 패치를 적용해야 하며, 24.3.1보다 오래된 버전은 지원 버전으로 올린 뒤 패치해야 한다. 근거 [2]

왜 중요한가

• 원격지원 장비는 관리자 접근과 내부 단말 연결을 중개하므로 침해되면 고객지원 시스템을 넘어 내부 자산과 자격증명까지 노출될 수 있다.
• 패치만으로 이미 발생한 침해 흔적이 사라지지는 않는다. 취약 기간에 인터넷에 노출됐던 장비는 별도의 침해조사가 필요하다.
• 자체 구축형 인스턴스는 자동 업데이트 설정에 따라 패치가 누락될 수 있어 실제 설치 상태를 직접 확인해야 한다.

inxight의 관점

• 이번 사안은 일반 서버 패치가 아니라 외부 경계에 놓인 고권한 운영도구의 사고 대응 문제로 분류해야 한다.
• 운영팀은 서비스 정상 작동 여부만 확인하지 말고 패치 증적, 노출 기간, 관리자 계정 사용 기록을 하나의 변경·사고 기록으로 묶어 관리해야 한다.
• 고객지원·유지보수 도구도 핵심 공급망 자산으로 등록하고 버전, 외부 노출, 자동 업데이트 여부를 상시 파악할 필요가 있다.

실무 체크리스트

• BeyondTrust Remote Support와 Privileged Remote Access 사용 여부, 구축 방식, 버전 및 인터넷 노출 상태를 즉시 확인한다.
• Remote Support 26.2.3 이하 자체 구축형 인스턴스에 BT26-05-RS 패치를 적용하고, 24.3.1 미만은 지원 버전으로 업그레이드한 뒤 패치한다.
• 취약 기간의 시스템·웹 서버·애플리케이션 로그에서 비정상 파일 생성, 웹셸, 로그 삭제 및 관리자 권한 변경 흔적을 조사한다.
• 장비가 외부에 노출됐거나 이상 징후가 발견되면 해당 장비가 저장·중개한 관리자 자격증명을 교체하고 연계 시스템 세션을 무효화한다.