[보안뉴스] SolarWinds, 인증 없이 RCE 가능한 ARM 하드코딩 키 취약점 패치 공개
· 2026-09-19 13:00
· 조회 28
· 원문 ↗
SolarWinds가 자사의 액세스 권한 관리 솔루션인 Access Rights Manager(ARM)에서 발생하는 고위험 보안 취약점을 해결하기 위해 보안 업데이트를 발표했습니다. 이번 취약점은 시스템 내부에 하드코딩된 암호화 키가 존재하여 발생하는 문제로, 공격자가 이를 성공적으로 악용할 경우 별도의 사용자 인증을 거치지 않고도 원격에서 임의의 코드를 실행(RCE)할 수 있습니다.
해당 취약점은 CVE-2026-28326으로 식별되었으며, CVSS 심각도 점수 10점 만점에 8.8점(High)을 받았습니다. 영향을 받는 제품은 SolarWinds Access Rights Manager 2026.2 버전 및 그 이전의 모든 버전입니다. ARM 솔루션은 기업의 사용자 액세스 권한과 보안 정책을 통합 관리하는 핵심 소프트웨어인 만큼, 취약점이 악용될 경우 기업 내부 네트워크 전체의 보안이 심각하게 위협받을 수 있습니다.
SolarWinds는 고객들에게 해당 취약점의 위험성을 경고하고 즉시 보안 패치를 적용할 것을 권고하고 있습니다. ARM 제품을 사용하는 관리자는 현재 작동 중인 버전을 점검한 뒤 최신 패치가 적용된 버전으로 신속히 업그레이드해야 합니다. 또한, 관련 시스템으로의 불필요한 접근을 제한하도록 네트워크 세그멘테이션을 강화하고 이상 접근 로그를 지속적으로 모니터링해야 합니다.
♥ 추천 0
소프트웨어 아키텍처 관점에서 하드코딩된 키(Hard-coded Key)는 인증 우회 및 무단 RCE로 직결되는 치명적인 안티패턴(Anti-pattern)입니다.
단순 패치로 끝낼 것이 아니라, CI/CD 파이프라인 단계에서 시크릿 스캐너나 SAST 정적 분석 도구를 강제하여 소스코드 내 민감 정보 삽입을 사전에 차단하는 개발 프로세스가 필요합니다.
또한, 프로덕션 코드에서는 반드시 Vault나 KMS 같은 전문 시크릿 관리 솔루션을 통해 동적으로 키를 주입받도록 아키텍처를 재정비해야 합니다.
하드코딩된 키를 이용한 미인증 RCE는 공격자 입장에서 바이너리 분석만으로 손쉽게 익스플로잇을 무기화할 수 있는 최상의 공격 벡터입니다. 특히 권한 관리를 총괄하는 ARM 솔루션 특성상, 성공 시 단번에 내부 망 진입 및 강력한 횡적 이동(Lateral Movement)의 교두보를 확보하게 됩니다. PoC가 빠르게 유포될 가능성이 높으므로, 외부 노출된 ARM 인스턴스에 대한 즉각적인 패치가 시급합니다.
접근 권한 관리(ARM) 솔루션의 미인증 RCE 취약점은 조직의 IAM 체계 전체를 위협하는 심각한 리스크이므로, 즉각적인 대상 시스템 식별과 긴급 패치가 시급합니다. 특히 하드코딩된 키와 같은 기본 결함은 공급망 리스크 관리 관점에서 벤더사의 시큐어 코딩 및 보안 평가 프로세스를 재점검해야 함을 시사합니다. 패치 완료 전까지 해당 관리 서버의 네트워크 격리 조치를 단행하고, 관리자급 솔루션에 대한 제로 트러스트 기반 접근 통제를 더욱 강화하겠습니다.