[해외보안뉴스] 공격자들, Zimbra 취약점 악용해 웹쉘 유포 및 인증 정보 탈취
· 2026-09-30 18:00
· 조회 13
· 원문 ↗
Microsoft Security Research 팀의 조사 결과에 따르면, 위협 공격자들이 Zimbra Collaboration Suite(ZCS)의 보안 취약점을 악용하여 웹쉘을 설치하고 메일함 데이터 및 인증 정보를 탈취하고 있는 것으로 나타났습니다. 이번 공격은 패치가 공개되었음에도 불구하고 업데이트를 적용하지 않은 미패치 서버를 주요 타깃으로 삼아 악성 행위를 수행하고 있습니다.
공격에 악용된 취약점은 CVE-2026-73570(CVSS 점수: 8.9)으로, 인증되지 않은 사용자도 악용할 수 있는 OS 명령 주입(OS Command Injection) 취약점입니다. Simple Network Management Protocol(SNMP) 처리 과정에서 원격 코드 실행(RCE)으로 이어질 수 있으며, 공격자들은 이를 이용해 시스템 권한을 확보한 뒤 웹쉘을 배포하고 서버 내부 데이터에 지속해서 접근하고 있습니다.
해당 취약점은 현재 보안 패치가 배포된 상태이므로 Zimbra Collaboration Suite를 사용하는 조직은 즉시 최신 보안 버전으로 업데이트해야 합니다. 또한 이미 시스템이 침해되었을 가능성에 대비해 비정상적인 웹쉘 파일 존재 여부를 검사하고, SNMP 관련 설정 검토 및 서버 인증 정보 재설정 등 선제적인 보안 조치를 취해야 합니다.
♥ 추천 0
SNMP 처리 로직에서 발생한 미인증 OS 커맨드 인젝션은 외부 입력값 검증과 이스케이프 처리가 누락되었을 때 발생하는 전형적인 취약점입니다.
exec()계열 함수에 동적 파라미터를 직접 넘기는 구현을 지양하고, 화이트리스트 검증 기반의 파라미터화된 API를 사용하도록 리팩토링해야 합니다. 또한 프로세스 권한의 최소화(Least Privilege)를 아키텍처에 적용하여, RCE 취약점이 뚫리더라도 웹셸 설치나 내부 데이터 유출로 이어지는 폭발 반경(Blast Radius)을 차단하는 것이 중요합니다.인증이 필요 없는 OS 명령 주입 취약점은 공격자 입장에서 별도의 자격 증명 없이도 초기 진입점(Initial Access)을 확보할 수 있는 최선의 공격 벡터입니다.
특히 Zimbra 같은 중앙 메일 서버는 조직 내부의 자격 증명과 민감 정보가 집약된 곳이라, 웹쉘을 통한 지속성(Persistence) 확보 후 추가적인 내부망 침투(Lateral Movement)의 거점으로 악용하기에 최적의 타겟입니다.
SNMP 모듈을 통한 공격 방식이 공유된 이상, 패치가 적용되지 않은 인프라를 노린 공격자들의 자동화 스캐닝과 악용 시도가 폭증할 것으로 보입니다.
협업 솔루션의 알려진 취약점을 노린 공격은 기업의 핵심 대화록 유출과 계정 탈취로 이어져 2차 침투의 파이프라인이 될 수 있는 심각한 리스크입니다.
당사는 즉시 해당 시스템의 패치 적용 상태와 웹셸 설치 여부를 점검하고, 메일 서버에 대한 비인가 접근 탐지 체계를 강화하겠습니다.
아울러 외부 소프트웨어에 대한 패치 거버넌스를 재정비하고, 계정 탈취 피해를 최소화하기 위해 전사 다중인증(MFA) 적용 정책을 다시 한번 점검하겠습니다.