심플헬프 RMM 인증우회 제로데이 — MSP 노려 자격증명 탈취

핵심 요약

원격 모니터링·관리(RMM) 도구 SimpleHelp에서 CVSS 10.0 인증우회 취약점 CVE-2026-48558이 악용됐다. OIDC 토큰 서명을 검증하지 않아 무인증 원격 공격자가 완전한 '기술자(Technician)' 세션을 획득할 수 있고, 일부 환경에서는 MFA까지 우회됐다. RMM은 다수 고객사를 관리하는 MSP의 핵심 도구라 파급이 크다.

1. 취약점 상세

2. 공격 정황

• 공격자가 Djinn Stealer, TaskWeaver 등 신종 악성코드 배포(Arctic Wolf·Blackpoint Cyber 관측)
• 인터넷 노출 서버 약 14,000대, 취약 추정 약 1,000대
• CISA KEV 등재, 패치 기한 7월 2일

3. 왜 위험한가

RMM은 관리 대상 모든 엔드포인트에 원격 접근·명령이 가능한 도구다. RMM이 뚫리면 MSP가 관리하는 수많은 고객사가 연쇄로 노출된다 — 전형적인 공급망 확산 경로다.

자주 묻는 질문

MFA를 켰는데도 뚫린다는 게 무슨 뜻인가요?

토큰 서명 검증 결함을 악용하면 인증 단계 자체를 우회하므로, MFA를 통과하지 않고도 유효한 세션을 만들 수 있습니다. MFA는 중요한 방어층이지만, 인증 로직에 결함이 있으면 우회될 수 있다는 점을 보여줍니다.

MSP 고객사는 무엇을 확인해야 하나요?

관리 업체가 SimpleHelp를 패치했는지 확인하고, 최근 비정상 원격 세션·신규 기술자 계정·낯선 프로세스 실행 여부를 점검해야 합니다. 악성코드 배포가 확인된 만큼 침해 흔적(IOC) 스캔이 권장됩니다.