美 CISA "Ahsay 백업서버 AhsayCBS 명령 주입 취약점 실제 공격에 악용"… 연방기관에 사흘 내 조치 지시
미국 사이버보안·인프라보안국(CISA)은 14일(현지시간) Ahsay의 AhsayCBS 제품에서 발견된 보안 취약점 CVE-2026-105134를 '악용 확인 취약점(KEV, Known Exploited Vulnerabilities)' 목록에 추가했다고 공개했다. CISA 목록에 따르면 이 취약점은 원격 공격자가 서버에서 운영체제 명령을 실행할 수 있는 '명령 주입(Command Injection)' 유형이다. 미국 연방기관은 오는 17일까지 조치를 마쳐야 한다.
KEV 목록에는 이론적으로 위험한 취약점이 아니라 실제 공격에 쓰인 사실이 확인된 취약점만 올라간다. 목록에 올랐다는 것은 이미 이 결함을 노린 공격이 벌어졌다는 뜻이다. 다만 공격 주체가 누구인지, 피해가 어느 정도인지는 CISA 자료에서 확인되지 않았다.
CISA가 붙인 공식 명칭은 'Ahsay AhsayCBS 명령 주입 취약점'이다. CISA 설명을 보면 문제는 AhsayCBS의 복제 수신(Replication Receiver) 구성요소에 있다. 이 구성요소의 '/rps/api/json/UpdateReceivers.do' 엔드포인트에서 'random' 매개변수를 조작하면 원격 공격자가 운영체제 명령을 실행할 수 있다. 서버에서 공격자가 원하는 명령을 실행할 수 있게 되면 데이터 탈취, 악성코드 설치, 내부망 침투로 이어질 수 있다. 명령 주입 취약점을 특히 위험하게 보는 이유다.
CISA는 이 취약점이 CVE-2026-105133과 '연쇄(chain)'로 악용될 수 있다고 명시했다. 공격자가 두 결함을 차례로 엮어 쓸 수 있다는 뜻이다. 그러나 이번에 공개된 자료에는 CVE-2026-105133이 어떤 유형의 취약점인지, 두 취약점이 실제 공격에서 어떤 순서로 쓰였는지는 나와 있지 않다. 패치가 적용된 버전 번호도 이번 자료에서는 확인되지 않았다.
AhsayCBS는 기업과 서비스 사업자가 백업 서버를 구축할 때 쓰는 소프트웨어다. 백업 서버에는 조직의 핵심 데이터 사본이 모여 있어 공격자에게는 매력적인 표적이다. 특히 이번 취약점이 있는 '복제 수신' 기능은 다른 서버에서 백업 데이터를 넘겨받는 기능이어서 외부와 연결된 상태로 운영되는 경우가 있다. 이런 환경이라면 인터넷을 통해 공격에 노출될 가능성도 그만큼 커진다. CISA가 조치 요구사항에서 '각 자산의 인터넷 노출 여부를 평가하라'고 따로 적은 것도 이런 맥락으로 읽힌다.
CISA는 공급사 지침에 따라 완화 조치를 적용하라고 요구했다. 이때 위험 기반 보안 업데이트 우선순위를 다룬 구속력 있는 운영지침(BOD 26-04)과 '포렌식 분류(Forensics Triage) 요구사항'을 함께 지키라고 했다. 클라우드 서비스는 BOD 26-04의 관련 지침을 따르고, 완화 조치를 할 수 없으면 제품 사용을 중단하라고 했다. 단순히 패치만 하라는 게 아니라 포렌식 절차까지 언급했다는 점에서, 이미 침해됐을 가능성을 염두에 두고 점검하라는 취지로 볼 수 있다.
목록 등재일(14일)과 이행 기한(17일)의 간격은 사흘에 불과하다. 그만큼 CISA가 이 사안을 시급하게 본다는 뜻이다. 이 기한은 미국 연방기관에만 법적 구속력이 있다. 하지만 KEV 목록은 민간 기업과 해외 기관도 패치 우선순위를 정할 때 참고 기준으로 널리 쓴다.
국내에서 AhsayCBS를 쓰는 기관과 기업, 백업 서비스 사업자도 공급사 보안 공지를 확인해 최신 버전으로 업데이트하는 것이 좋다. 복제 수신 기능이 외부에 노출돼 있는지도 함께 점검해야 한다. 연쇄 악용이 거론된 만큼 CVE-2026-105133에 대한 공급사 안내도 같이 확인할 필요가 있다.