美 CISA, AhsayCBS 명령어 주입 취약점 '실제 악용' 목록에 추가… 연방기관 사흘 내 조치 요구
미국 사이버보안·인프라보안국(CISA)이 Ahsay의 AhsayCBS 제품에서 나온 명령어 주입 취약점 CVE-2026-105134를 '실제 악용이 확인된 취약점(KEV·Known Exploited Vulnerabilities)' 목록에 올렸다. CISA가 10월 14일 갱신한 KEV 목록을 보면, 이 취약점은 원격 공격자가 서버의 운영체제 명령을 실행할 수 있게 하는 결함이다. 미국 연방기관은 10월 17일까지 조치를 마쳐야 한다.
CISA 설명에 따르면 문제는 AhsayCBS의 복제 수신(Replication Receiver) 구성요소에 있다. 이 구성요소의 '/rps/api/json/UpdateReceivers.do' 엔드포인트로 들어가는 'random' 매개변수를 조작하면 공격자가 원격에서 운영체제 명령을 실행할 수 있다. CISA가 붙인 공식 명칭은 'Ahsay AhsayCBS Command Injection Vulnerability'다.
명령어 주입은 프로그램이 외부 입력값을 제대로 걸러내지 않고 시스템 명령에 그대로 넘길 때 생기는 취약점이다. 입력값에 끼워 넣은 명령이 서버에서 그대로 실행되므로, 공격에 성공하면 공격자가 해당 서버를 원격으로 조종하다시피 할 수 있다. 이번 취약점은 네트워크 너머에서 공격할 수 있는 원격형이라 인터넷에 노출된 서버일수록 위험이 커진다.
CISA는 이 취약점이 같은 제품의 다른 취약점인 CVE-2026-105133과 연계(체이닝)될 수 있다고 밝혔다. 체이닝은 여러 취약점을 차례로 엮어 취약점 하나로는 어려운 공격을 완성하는 기법이다. 한쪽만 막으면 공격 경로가 남을 수 있으니 두 취약점을 함께 점검해야 한다는 뜻이다.
KEV 목록에는 이론상 위험한 취약점이 아니라 실제 공격에 쓰인 사실이 확인된 취약점만 오른다. 등재됐다는 것은 공격자들이 이미 이 결함을 무기로 쓰고 있다는 뜻이다. 이번 건의 이행 기한이 등재일에서 사흘 뒤인 10월 17일로 잡힌 것도 그만큼 시급하다는 판단으로 볼 수 있다.
CISA가 요구한 조치는 공급사(벤더) 지침에 따라 완화 조치를 적용하는 것이다. 이때 위험 기반으로 보안 업데이트 우선순위를 정하도록 한 지침 'BOD 26-04'와 '포렌식 분류(Forensics Triage) 요건'을 함께 지키라고 했다. 클라우드 서비스라면 BOD 26-04의 관련 지침을 따르고, 완화 조치를 적용할 수 없으면 제품 사용을 중단하라고 했다. 또 보유 자산이 인터넷에 얼마나 노출돼 있는지는 각 기관이 직접 평가해야 하며, BOD 26-04의 패치 지침을 지킬 책임도 각 기관에 있다고 못 박았다.
조치 요구에 포렌식 분류 요건이 함께 들어간 점도 눈에 띈다. 이미 악용이 확인된 취약점인 만큼, 패치만 적용하고 끝내지 말고 그동안 침해 흔적이 있었는지도 살펴보라는 취지로 읽힌다.
KEV 이행 기한은 미국 연방기관에만 적용된다. 하지만 같은 제품을 쓰는 국내 기관·기업도 공급사 보안 공지를 확인해 최신 버전으로 업데이트하는 것이 좋다. 특히 복제 수신 구성요소가 외부 인터넷에 노출돼 있지 않은지, 함께 엮일 수 있는 CVE-2026-105133까지 조치했는지 점검할 필요가 있다.
