[보안뉴스] Red Heron, Gitea RCE 취약점 악용해 6개국 13개 조직 침해
· 2026-09-18 12:00
· 조회 25
· 원문 ↗
중국 연계 가능성이 있는 위협 그룹 '레드 헤론(Red Heron)'이 최근 공개된 오픈소스 Git 서비스 Gitea의 원격 코드 실행(RCE) 취약점을 신속하게 악용하여 글로벌 침해 캠페인을 벌이고 있는 것으로 밝혀졌습니다. 보안 기업 아크로니스(Acronis)의 위협 연구팀(TRU)에 따르면, 공격자들은 취약점이 공개된 직후 인터넷에 노출된 Gitea 인스턴스를 무차별 탐색하고 공격을 감행했습니다.
이번 공격으로 현재까지 6개국에 위치한 최소 13개 기관이 최종 침해 피해를 입은 것으로 확인되었습니다. 공격자들은 전 세계 7개국에 걸쳐 총 1,386개의 Gitea 인스턴스를 스캐닝했으며, 특히 대만 기반 시스템 477개를 별도 데이터셋으로 관리하며 집중 타깃팅한 정황이 포착되었습니다. 이는 개발 환경과 소스 코드 자산을 노린 다국적 규모의 계획된 캠페인입니다.
Gitea는 소스 코드와 접근 자격 증명 등 기업의 핵심 지식재산이 보관되는 도구이기 때문에, 침해 시 추가적인 공급망 공격으로 이어질 위험이 매우 큽니다. 레드 헤론은 보안 패치가 발표된 후 조직들이 이를 적용하기 전의 시간차를 노려 신속하게 침투하는 전략을 사용하고 있어 위험성이 더욱 증대되고 있습니다.
Gitea 인스턴스를 운영 중인 기업 및 기관은 즉시 해당 소프트웨어를 최신 보안 버전으로 업데이트해야 합니다. 또한 인터넷에 직접 노출된 인스턴스는 VPN이나 IP 제한 등을 통해 접근을 통제하고, 시스템 로그를 정밀 분석하여 미인가 접근이나 정찰 활동 등의 이상 징후가 있었는지 점검할 것을 권장합니다.
소스 코드가 집중된 Gitea 같은 형상 관리 도구는 RCE 취약점 발생 시 파급력이 막대하므로, 인터넷에 직접 노출하기보다 VPN이나 Access Gateway 뒤로 숨기는 아키텍처 전환이 우선되어야 합니다. 특히 취약점 공개 직후 공격 스캔이 이루어지는 만큼, 사내 개발 인프라 역시 패치 관리 파이프라인(DevSecOps)을 자동화하여 노출 시간을 최소화해야 합니다. 개발 편의성을 이유로 외부 접근을 허용하는 관행을 지양하고, 인프라 단부터 최소 권한 접근 제어를 엄격히 적용해야 합니다.
인터넷에 노출된 Gitea와 같은 소스 코드 관리(SCM) 시스템의 RCE 취약점은 단순 권한 탈취를 넘어 내부망 침투를 위한 최상의 공격 벡터입니다. 공격 그룹은 취약점 공개 직후 대규모 자동화 스캐닝으로 위협 노출면(Attack Surface)을 빠르게 식별하고 실시간으로 악용하는 속도전을 보여주고 있습니다. 특히 SCM 서버가 점령되면 CI/CD 파이프라인을 통한 공급망 공격이나 강력한 횡적 이동(Lateral Movement) 거점으로 활용될 수 있어 공격자 관점에서의 악용 가치가 매우 높은 표적입니다.
Gitea와 같은 오픈소스 개발 인프라의 인터넷 직접 노출은 APT 그룹의 신속한 1-Day 취약점 공격 대상이 되기 매우 쉽습니다.
조직 차원에서 외부 노출 자산(Attack Surface)을 즉시 전수 조사하고, 개발 도구는 인터넷에 직접 노출하기보다 ZTNA나 VPN 기반의 격리 정책을 적용해야 합니다.
아울러 취약점 공표 후 조치까지의 시차(Window of Exposure)를 최소화할 수 있도록 보안 패치 SLA 및 자산 관리 거버넌스를 강화해야 합니다.