[해외보안뉴스] CISA, 중국 해킹 그룹 'Flax Typhoon' 악용 취약점 5종 KEV 추가… 연방기관 패치 시한 설정
· 2026-10-09 13:00
· 조회 13
· 원문 ↗
미국 사이버보안·인프라보안국(CISA)이 중국과 연계된 위협 악티베이터인 'Flax Typhoon'이 실제 공격에 악용한 것으로 확인된 보안 취약점 5종을 '최근 악용된 취약점(KEV)' 카탈로그에 새로 추가했습니다. 이에 따라 CISA는 미국 연방 행정기관을 대상으로 오는 10월 11일까지 해당 취약점을 조치하도록 기한을 설정했습니다.
이번에 등록된 취약점 중에는 CVSS 점수 만점(10.0)을 기록한 ProFTPD의 부적절한 접근 제어 취약점인 CVE-2015-3306이 포함되어 있습니다. Flax Typhoon은 이처럼 알려진 보안 결함을 악용하여 초기 침투를 수행하고, 시스템 권한을 획득해 목표 네트워크 내에서 은밀하게 거점을 확보하는 방식을 취하고 있어 연방 기관은 물론 주요 인프라 조직 전반에 심각한 보안 위협을 가하고 있습니다.
CISA는 연방 기관뿐만 아니라 모든 민간 기업과 조직에도 이번에 지목된 취약점의 노출 여부를 즉시 점검하고 신속하게 최신 패치를 적용할 것을 강력히 권고했습니다. 즉각적인 패치 적용이 어려운 환경에서는 해당 서비스의 외부 네트워크 접근을 제한하거나 엄격한 접근 제어 정책을 적용하는 등 긴급 완화 조치를 시행해야 합니다.
♥ 추천 0
10년 전 발표된 CVSS 10.0의 레거시 취약점이 여전히 APT 공격의 주요 침투 경로로 악용된다는 점은 인프라 패치 관리의 허점을 적나라하게 보여줍니다. ProFTPD의 접근 제어 결함 같은 파괴적인 이슈를 막으려면 단순 긴급 패치를 넘어, 레거시 FTP를 SFTP나 S3 등 현대적인 프로토콜로 대체하는 아키텍처 리팩토링이 병행되어야 합니다. 또한 CI/CD 파이프라인에 SCA(소프트웨어 구성 분석)를 자동화하여 오래된 모듈과 의존성을 주기적으로 쳐내는 DevSecOps 체계 구축이 시급합니다.
ProFTPD의 CVE-2015-3306은 인증 없이 임의 파일 복사(mod_copy)를 통해 웹쉘을 드롭할 수 있는 전형적인 초기 침투(Initial Access) 벡터로, 모의침투 시에도 외곽망을 단숨에 무너뜨리는 고효율 공격 통로입니다.
Flax Typhoon 같은 고도화된 APT 그룹이 10년 가까이 된 레거시 취약점을 악용하는 것은, 굳이 제로데이(0-day)를 쓰지 않아도 패치되지 않은 에지(Edge) 자산만으로 침투 성공률을 100% 가까이 올릴 수 있기 때문입니다.
공격자 관점에서 외부 노출 서비스의 알려진 고위험 취약점은 최소한의 리소스로 거점을 확보할 수 있는 최상의 공격 타깃임을 다시 한번 보여줍니다.
오래된 레거시 취약점(CVE-2015-3306)조차 APT 공격 그룹의 주요 침투 경로로 악용되고 있다는 점은 기업의 미패치 자산 관리가 얼마나 큰 리스크인지 보여줍니다. CISA의 KEV 목록을 우리 조직의 취약점 조치 우선순위 정책에 즉각 반영하여 외부 위협 노출면(Attack Surface)을 조속히 제거해야 합니다. 전사 차원의 외부 접점 시스템 전수 점검을 실시하고, 보안 거버넌스 관점에서 패치 기한 준수를 강제하겠습니다.