원격 모니터링·관리(RMM) 소프트웨어 N-central을 서비스하는 N-able이 인증 우회 취약점 CVE-2026-18577이 실제 공격에 악용되고 있다고 확인했다. 공격자들은 이 결함을 통해 관리자 권한을 원격으로 탈취한 뒤, N-central이 관리하는 고객사 시스템까지 침투한 것으로 드러났다. N-able은 8월 7일(현지시각) 두 번째 긴급 핫픽스를 배포하며 상황을 공개했다. 미국 사이버보안·인프라보안국(CISA)은 이 취약점을 이미 알려진 위험 취약점(KEV) 목록에 올리고 연방기관에 단 사흘의 패치 기한을 부여했다. 관리형 서비스 제공업체(MSP)들이 대규모 고객 환경을 한곳에서 다루는 플랫폼인 만큼, 이번 침해가 원래 피해자를 넘어 얼마나 확산됐는지가 관심사로 떠올랐다.

관리자 권한 탈취에서 고객망 침투까지

N-able은 지난 7월 31일(현지시각) 자사의 매니지드 탐지·대응(MDR) 서비스 애드루민(Adlumin)이 한 고객 환경에서 이상 행위를 포착했다고 밝혔다. 후속 조사 결과 당시 미공개 상태였던 제로데이 취약점이 N-central 서버를 대상으로 실제 악용되고 있음이 확인됐다. 이 취약점이 CVE-2026-18577로, CVSS 점수는 8.2다.

공격자들은 취약한 N-central 서버를 원격으로 공략해 관리자 권한을 확보한 뒤, 플랫폼의 ‘테이크 컨트롤(Take Control)’ 기능을 이용해 관리 대상 환경 내 시스템에 접속했다. 더 레지스터(The Register) 보도에 따르면 이후 공격자들은 새로운 클라우드플레어 터널(Cloudflare Tunnel) 서비스를 등록해, N-central 서버에 대한 접근이 차단된 뒤에도 침투를 유지할 수 있는 지속성을 확보했다. 이 같은 행위는 보안업체 헌트리스(Huntress)가 이미 실제 환경에서 관찰한 바 있다고 전해졌다. N-able은 “제한된 수(limited number)”의 고객이 영향을 받았다고만 밝혔을 뿐, 정확한 피해 고객 수나 침투당한 다운스트림 시스템 규모는 공개하지 않았다.

불완전했던 이전 패치, 같은 결함 재발

이번 CVE-2026-18577은 앞서 공개됐던 취약점 CVE-2026-18556(CVSS 8.2)에 대한 불완전한 수정에서 비롯됐다. 두 취약점 모두 인증 우회와 계정 탈취를 허용하며, CISA로부터 실제 악용이 확인된 취약점으로 지정됐다.

N-able은 8월 2일(현지시각) 첫 번째 긴급 핫픽스를 내놓았고, 이 취약점은 2026.3.1.7 이전 모든 N-central 버전에 영향을 미친다고 설명했다. CISA는 이를 KEV 카탈로그에 등재하며 연방기관에 8월 6일(현지시각)까지 패치를 마치라는 사흘짜리 시한을 부여했다. 통상 CISA가 긴급하다고 판단한 취약점에만 적용하는 짧은 기한이다. 그런데 N-able은 8월 7일(현지시각) 목요일 두 번째 핫픽스인 버전 2026.3.1.10을 내놓으며 “이번 공지는 앞선 공지와 중복이 아니다. 이미 첫 핫픽스를 적용했더라도 핫픽스 2 설치가 필요하다”고 강조했다. 무엇이 두 번째 패치를 촉발했는지는 명확히 밝히지 않았다. N-able은 공격자가 첫 핫픽스를 우회하는 방법을 찾았는지에 대해서는 언급하지 않은 채, “위협 행위자들이 공격 기법을 진화시키는 데 대응해 방어를 선제적으로 확장하고 있다”고만 설명했다. 호스팅형 N-central 환경은 이미 최신 조치가 적용된 상태이며, 온프레미스(자체 구축형) 고객은 즉시 업데이트가 필요하다.

MSP 플랫폼이라 위험이 더 크다

N-central 같은 RMM 플랫폼이 공격자에게 매력적인 표적이 되는 이유는 구조 자체에 있다. MSP들이 다수 고객 환경을 한 플랫폼에서 관리하기 때문에, 관리 플랫폼 하나가 뚫리면 공격자는 원래 서버에 머물지 않고 MSP 고객들의 기기까지 접근 경로를 얻게 된다. 헌트리스는 이번 취약점의 성공적인 악용이 통상 신뢰받는 네트워크 운영·엔지니어링 직원에게만 부여되는 수준의 N-central 접근 권한을 공격자에게 그대로 넘겨준다고 설명했다. 실제 조사에서도 공격자들이 이 권한을 이용해 관리 대상 엔드포인트를 상대로 원격 제어 세션을 실행한 사례가 확인됐다.

보안업체 S-RM 역시 주간 위협 브리핑에서 “MSP가 대규모 고객 환경을 관리하는 데 쓰는 플랫폼이라는 특성 때문에 N-central이 매력적인 표적이 됐다”고 짚었다. S-RM은 “성공적인 침해는 최초 피해자를 훨씬 넘어서까지 확장될 수 있으며, 잠재적으로 고객사와 관리 대상 시스템, 더 넓은 공급망 전체에 대한 접근을 제공할 수 있다”고 경고했다.

대응 방안과 남은 과제

N-able은 공격에 사용된 IP 주소 10개를 공개하고, 윈도우 엔드포인트에서 이 지표들을 자동으로 점검할 수 있는 커스텀 서비스 템플릿도 함께 배포했다. 다만 회사는 “점검 결과가 깨끗하다고 해서 환경이 영향받지 않았다는 보장은 아니다”라며 “조사가 계속 진행 중이며 추가 지표가 향후 식별될 수 있다”고 밝혔다. 이 도구는 전반적인 로그·계정 활동 점검과 함께 하나의 보조 수단으로만 활용해달라고 권고했다.

더 레지스터가 질문한 피해 고객 수, 도달한 다운스트림 시스템 규모, 공격자가 지속 접근을 확보한 뒤 실제로 무엇을 했는지에 대해 N-able은 구체적인 답변을 내놓지 않았다. 온프레미스로 N-central을 운영하는 고객에게 남은 지침은 명확하다. 이미 첫 번째 핫픽스를 설치했더라도 버전 2026.3.1.10, 즉 핫픽스 2를 즉시 적용해야 한다는 것이다.