CISA, 바라쿠다 보안장비 7종 'OS 명령어 삽입' 취약점 실제 악용 확인… 연방기관에 사흘 내 조치 지시
미국 사이버보안·인프라보안국(CISA)이 10일(현지시간) 바라쿠다 네트웍스(Barracuda Networks)의 여러 보안·네트워크 제품에서 나온 운영체제(OS) 명령어 삽입 취약점 'CVE-2026-111560'을 '실제 악용이 확인된 취약점(KEV)' 목록에 올렸다. CISA는 미국 연방기관에 오는 13일까지 조치를 마치라고 요구했다. 목록에 오른 날부터 사흘 안에 대응해야 한다.
CISA KEV 목록에 따르면 이번 취약점은 바라쿠다 제품 7종에 영향을 준다. 이메일 보안 게이트웨이(ESG), 로드 밸런서, 애플리케이션 딜리버리 컨트롤러(ADC), 메시지 아카이버(BMA), WAF 컨트롤 센터(WCC), 웹 애플리케이션 방화벽(WAF), 웹 보안 게이트웨이(WSG)다. 메일과 웹 트래픽이 오가는 관문, 트래픽 분산 장비, 메일 보관 시스템이 모두 들어 있다. 기업 네트워크의 경계를 지키는 장비가 한꺼번에 영향을 받는 셈이다.
공격은 이렇게 이뤄진다. 인증을 거친 관리자가 시간대(timezone) 설정값에 조작한 문자열을 넣는다. 이후 시스템이 이 값을 처리할 때 끼워 넣은 OS 명령이 최고 권한인 루트(root) 권한으로 실행된다. OS 명령어 삽입은 사용자가 넣은 값을 제대로 거르지 않고 시스템 명령에 넘길 때 생기는 취약점이다. 루트 권한까지 얻으면 공격자가 장비의 운영체제를 사실상 마음대로 다룰 수 있어 피해가 크다.
관리자 인증이 있어야 한다는 점만 보면 공격이 어려워 보인다. 하지만 CISA는 이 취약점이 다른 취약점인 CVE-2026-116606과 연쇄(체이닝)될 수 있다고 밝혔다. 체이닝은 여러 취약점을 이어 붙여 하나만으로는 어려운 공격을 가능하게 만드는 수법이다. 그래서 '관리자만 악용할 수 있다'는 조건만 믿고 위험을 낮게 보면 안 된다.
KEV 목록은 이론상 위험한 취약점이 아니라 실제 공격에 쓰인 것이 확인된 취약점만 모은다. 여기에 올랐다는 것은 공격자들이 이미 이 취약점을 쓰고 있다는 뜻이다. 사흘이라는 짧은 기한도 그만큼 상황이 급하다는 점을 보여준다.
CISA가 요구한 조치는 크게 세 가지다. 첫째, 공급사 지침에 따라 완화 조치를 적용한다. 이때 CISA의 구속력 있는 운영지침 BOD 26-04 '위험 기반 보안 업데이트 우선순위'와 '포렌식 분류(트리아지) 요구사항'을 함께 지켜야 한다. 둘째, 클라우드 서비스에는 BOD 26-04의 해당 지침을 따른다. 셋째, 완화 조치가 없으면 제품 사용을 중단한다. CISA는 장비마다 인터넷에 얼마나 노출돼 있는지 평가하고 BOD 26-04의 패치 지침을 지킬 책임이 각 운영 주체에 있다고 밝혔다. 포렌식 요구사항까지 넣은 것은 패치만 하지 말고 장비가 이미 침해됐는지도 살펴보라는 뜻으로 읽힌다.
CISA의 이행 기한은 미국 연방기관에만 적용된다. 하지만 바라쿠다 장비는 메일·웹 보안 영역에서 널리 쓰여, 같은 제품을 쓰는 국내 공공기관과 기업도 대응이 필요하다. 바라쿠다의 보안 공지를 확인해 최신 버전으로 업데이트하고, 공지된 완화 조치를 서둘러 적용하는 것이 좋다.
