- 아리스타는 공격자들이 이미 악용하고 있던 VeloCloud Orchestrator SQL 인젝션 취약점(평점 9.9)을 패치했습니다.
- 이 취약점은 읽기 전용 인증 사용자가 운영자 권한을 획득하고 슈퍼유저로 위장할 수 있게 합니다.
- 7월 이후 공개된 VeloCloud Orchestrator 취약점 중 세 번째로 실제 공격에 악용된 사례입니다.
2026년 10월 22일, 아리스타 네트워크는 공격자들이 이미 악용했던 VeloCloud Orchestrator 제로데이 취약점을 수정했습니다. 이 취약점은 여러 사이트에 걸쳐 네트워크 연결을 처리하는 데 사용되는 시스템에 영향을 미치므로 기업들에게 위험을 초래합니다.
읽기 전용 계정이 어떻게 슈퍼유저가 되는가
Arista의 Advisory 0199는 이 취약점을 CVSS v3.1 기준 9.9점으로 평가된 SQL 인젝션 취약점인 CVE-2026-114625로 식별합니다. 위험성은 최소 권한 수준에서도 공격자가 얼마나 많은 제어권을 확보할 수 있는지에 있습니다.
이 취약점을 악용하려면 공격자가 웹 인터페이스에 접근할 수 있어야 하며 유효한 로그인 자격 증명을 보유해야 합니다. 로그인한 후 공격자는 SQL 인젝션 취약점을 사용하여 플랫폼에서 가장 낮은 권한의 역할인 Enterprise Read Only 계정을 운영자 권한으로 승급하고 슈퍼유저를 사칭할 수 있습니다. 따라서 이 취약점은 읽기 전용 액세스 권한을 가진 사람이 플랫폼을 완전히 장악할 수 있게 해줍니다. Arista는 공격자들이 이미 이 취약점을 악용하고 있다고 확인했습니다.
패치 및 포렌식 체크리스트
온프레미스 운영자는 소프트웨어 버전을 확인해야 합니다. 영향을 받는 5.2.x, 6.1.x 및 6.4.x 릴리스는 각각 고정 빌드 5.2.3.18, 6.1.3.10 및 6.4.2.12 또는 해당 트레인 내 이후 릴리스가 필요합니다. 호스팅 및 전용 배포는 이미 패치되었습니다.
Arista에 따르면 두 공격 모두 다음 소스 IP에서 발생했습니다: 74.82.197.86 및 38.54.50.151. 회사는 시스템 관리자에게 의심스러운 웹 요청, 예기치 않은 외부 연결, 비정상적인 관리자 활동을 조사하도록 권고합니다. 또한 관리 접근을 신뢰할 수 있는 네트워크로 제한하고, 침해가 의심될 경우 관련 로그를 보존할 것을 권장합니다.
여름 이후 세 번째 VeloCloud 결함
SQL 인젝션 취약점은 3개월 이내에 VeloCloud Orchestrator에서 보고된 세 번째 실제 악용 사례입니다.
Arista의 advisory 0144는 2026년 7월 27일 처음 발행되었으며, OS 명령어 인젝션 취약점을 다루었습니다. 또 다른 결함은 advisory 0183를 통해 9월 22일에 공개되었습니다. 둘 다 최신 취약점과 다른 공격 방식을 포함하고 있습니다.
세 가지 취약점 간에는 차이가 있지만, 모두 동일한 중앙 관리 플랫폼에 영향을 미쳤습니다. VeloCloud Orchestrator는 여러 사이트 간의 연결을 관리하므로, 해당 플랫폼이 침해되면 여러 네트워크가 위험에 노출될 수 있습니다.
패치가 익스플로잇 이후 적용됨
Verizon의 2026 데이터 유출 조사 보고서에 따르면, 취약점 악용이 데이터 유출 사례의 31%를 차지하는 것으로 나타났습니다. 이는 공격자가 네트워크에 접근하는 데 가장 많이 사용한 방법으로, 도난당한 자격 증명을 제쳤습니다. 이 결과는 기업이 공격자에게 기회를 주기 전에 취약점을 먼저 해결해야 함을 강조합니다.
하지만 기업은 종종 공격자가 이를 악용하기 전에 취약점을 해결하지 못합니다. 구글 M-Trends 2026 보고서에 따르면, 공격자는 수정 프로그램이 제공되기까지 평균 7일 동안 시스템 취약점을 악용합니다. 또한 보고서는 VPN 및 라우터와 같은 표준 엔드포인트 모니터링이 없는 네트워크 장치를 겨냥한 일부 위협들을 언급했습니다.
AI는 상황을 더 위험하게 만들 수 있습니다. 별도의 조사에서 구글 연구진은 공격자가 AI를 활용하여 6시간도 채 걸리지 않는短时间内 대규모 자격 증명 탈취 캠페인을 계획하고 실행한 사례를 문서화했습니다. 이 작전은 수천 개의 서드파티 자격 증명을 침해했습니다.
VeloCloud 공격에서 AI의 역할이 확인된 증거는 없지만, Google의 조사 결과는 AI 지원 작업이 공격자가 더 빠르게 움직이고 보안 팀이 대응하기 전에 더 큰 피해를 입힐 수 있는 방법을 보여줍니다.
성장하는 시장에서 연속적인 수정이 중요한 이유
사이버 공격은 심각한 재정적 결과를 초래할 수 있습니다. IBM의 2026년 연구에 따르면 데이터 유출의 평균 글로벌 비용이 499만 달러로 추정됩니다. 신흥 위협에 대한 우려도 커지고 있습니다. 세계 경제 포럼은 응답자의 87%가 2025년 동안 AI 관련 취약성이 가장 빠르게 성장하는 사이버 위험이라고 평가했다고 밝혔습니다.
더 많은 기업이 여러 사무실을 연결하고 네트워크 트래픽을 중앙에서 관리할 수 있는 SD-WAN(소프트웨어 정의 광역 네트워크)을 채택함에 따라 잠재적 영향력은 더욱 확대될 수 있습니다. 델오로 그룹은 2030년까지 SD-WAN 수익이 연평균 14% 성장할 것으로 전망합니다. 이러한 네트워크가 확장됨에 따라 침해당한 중앙 컨트롤러는 여러 지역의 비즈니스 운영을 방해하여 다른 국가의 기업에도 영향을 미칠 수 있습니다.
금융 시장은 운영 중단과 관련해 유사한 우려를 안고 있습니다. 크립토폴리탄이 이전에 보고한 바에 따르면 주요 헤지펀드를 대상으로 한 사이버 공격 시도가 있었으며, 이는 암호화폐 시장으로의 파급 효과 가능성을 제기했습니다. 비록 해당 사건들은 VeloCloud 공격과는 별개였지만, 핵심 시스템을 보호하는 중요성을 강조합니다. VeloCloud를 사용하는 기업이라면 패치 적용, 이전 침해 징후 확인, 그리고 지사를 연결하는 시스템 보안 강화가 필요합니다.
가장 똑똑한 암호화폐 전문가들이 이미 우리 뉴스레터를 구독하고 있습니다. 참여하고 싶으신가요? 함께하세요.
자주 묻는 질문
CVE-2026-114625란 무엇이며 그 심각도는 어떠한가?
Arista의 VeloCloud Orchestrator에서 발견된 SQL 인젝션 결함으로, CVSS 점수는 10점 만점에 9.9점입니다. Arista는 이 취약점이 실제 환경에서 악용되었으며, Enterprise Read Only 계정이 운영자 또는 슈퍼유저 권한으로 승격될 수 있다고 밝혔습니다.
어떤 VeloCloud 버전이 이 결함을 수정합니까?
Arista의 보안 권고문에서는 온프레미스 환경의 수정된 빌드로 5.2.3.18, 6.1.3.10, 6.4.2.12를 명시했으며, Hosted 및 Dedicated 배포판은 이미 패치되었음을 밝혔습니다.
공격자들은 이와 같은 취약점을 얼마나 빠르게 악용하고 있습니까?
Google의 M-Trends 2026 보고서에 따르면 취약점 악용까지 평균 소요 시간은 마이너스 7일로, 패치 출시 전에도 악용이 빈번하게 발생하고 있습니다. 또한 Verizon의 2026 DBIR에서는 취약점 악용이 공격자가 초기 접근 권한을 획득하는 가장 일반적인 방법으로 확인되었습니다.
VeloCloud 관리자는 지금 당장 무엇을 해야 합니까?
온프레미스 VeloCloud Orchestrator(VCO)를 실행 중인 관리자는 즉시 고정 릴리스로 업그레이드해야 합니다. 5.2 계열은 5.2.3.18 이상, 6.1 계열은 6.1.3.10 이상, 6.4 계열은 6.4.2.12 이상 버전으로 업그레이드하십시오. Arista는 호스팅 및 전용 VCO 환경이 이미 패치되었음을 밝혔습니다. 업그레이드가 가능할 때까지 VCO 웹 인터페이스에 신뢰할 수 있는 관리 네트워크에서만 접근하도록 제한하고, 알려진 악성 IP 주소에서의 연결을 모니터링하며, 예외적인 아웃바운드 트래픽을 조사하고, 백도어 데몬 및 웹쉘 존재 여부를 확인하며, 관리자 활동에서 무단 변경 사항을 검토하십시오. 침해가 의심될 경우, 운영상 가능한 범위 내에서 수정 조치 전에 웹 액세스, 백엔드 애플리케이션, 시스템 및 데이터베이스 로그, 관련 파일시스템 타임스탬프를 보존하십시오.
CVE-2026-114625의 침해 지표(IOC)는 무엇입니까?
Arista는 CVE-2026-114625를 악용하는 공격과 관련된 두 개의 IP 주소(74.82.197.86 및 38.54.50.151)를 확인했습니다. 관리자는 VCO 웹 액세스 로그에서 이러한 주소로의 연결을 확인하고, 비정상적인 URL 유사 경로 구성 요소, 인코딩된 문자, 로컬 또는 내부 서비스 참조, 비정상적으로 높은 요청률 등을 조사해야 합니다. 의심스러운 웹 요청을 백엔드 애플리케이션, 시스템 및 데이터베이스 로그와 상관관계 분석하여 예기치 않은 HTTP 또는 HTTPS 트래픽, 무단 구성 변경, 이상한 특권 유지 관리 작업, 예상치 못한 명령 실행 또는 파일 생성, 데이터베이스 내보내기 또는 아카이브 파일, 장치 인벤토리, 자격 증명, 인증서 또는 키 자료에 대한 의심스러운 접근 등을 식별하십시오. 이러한 지표는 포괄적이지 않으며, 일치 항목이 없다고 해서 침해가 없음을 의미하지는 않습니다. 침입이 의심될 경우 관련 로그 및 파일시스템 타임스탬프를 보존하십시오.
호스팅 또는 전용 VeloCloud 고객은 CVE-2026-114625의 영향을 받습니까?
Arista는 호스팅 및 전용 VeloCloud Orchestrator 환경이 영향을 받았으나 이미 패치되었음을 밝혔습니다. 해당 서비스를 사용하는 고객은 Arista 또는 서비스 제공업체를 통해 자신의 환경에 대한 패치 상태를 확인하고, 의심스러운 활동이 감지된 경우 사용 가능한 보안 로그를 검토해야 합니다. 호스팅 환경의 수정은 패치 이전에 공격이 발생하지 않았음을 의미하지 않습니다. 온프레미스 배포의 경우, 관리자는 소프트웨어 릴리스가 Arista의 영향 버전 목록과 일치하는지 확인하고 적절한 수정된 릴리스를 설치해야 합니다. VeloCloud Gateway 및 VeloCloud Edge 제품은 이 취약점으로 인해 직접적으로 영향을 받는 제품으로 나열되지 않았습니다.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com은 이 페이지에 제공된 정보를 기반으로 이루어진 모든 투자에 대해 책임을 지지 않습니다. 어떤 투자 결정을 내리기 전에 독립적인 조사나 자격을 갖춘 전문가와의 상담을 강력히 권장합니다.
마이아 비오둔
미카 아비오둔은 탈린 공과대학교 (TalTech) 에서 환경공학 및 관리 석사 학위를 바탕으로 크립토폴리탄에서 콘텐츠와 가격 예측 뉴스를 다듬고 있습니다. 현재 암호화폐 미디어 업계 7년 차인 그는 주요 암호화폐, 알트코인, DeFi, 스테이블코인, 거시 동향 및 신기술을 다루고 있습니다.
