2026 상반기 Critical 취약점 총정리 — 지금 당장 패치해야 할 것들

CVSS 9.0 이상 Critical 취약점 중 실제 익스플로잇이 확인된 항목만 선별했다. Ivanti, Fortinet, VMware, Apache 계열 취약점과 패치 현황을 정리한다.

2026년 상반기는 엔터프라이즈 네트워크 장비와 VPN 솔루션을 노리는 Critical 취약점이 집중적으로 공개된 시기였다. CISA의 KEV(Known Exploited Vulnerabilities) 카탈로그에 등록된 항목 중 국내 환경과 연관성이 높은 취약점을 선별하여 정리한다.

즉시 패치 필요 취약점

① Ivanti Connect Secure / Policy Secure

        CVE-2025-22457 (CVSS 9.0) — 스택 기반 버퍼 오버플로우. 인증 없이 원격 코드 실행 가능. 중국계 위협 그룹 UNC5221이 제로데이로 악용한 것이 확인됐다. 국내 다수 기업·공공기관이 Ivanti VPN을 사용 중으로 즉시 패치 또는 임시 차단이 필요하다.
      

영향 버전: Connect Secure 22.7R2.5 이하, Pulse Connect Secure 9.1x, Policy Secure 22.7R1.3 이하, ZTA Gateway 22.8R2 이하
패치: Connect Secure 22.7R2.6, Policy Secure 22.7R1.4, ZTA Gateway 22.8R2.2 이상
임시 조치: 외부 접근 차단, ICT(Integrity Checker Tool) 실행

② Fortinet FortiOS / FortiProxy

        CVE-2024-55591 (NVD 9.8 / Fortinet 자체 9.6) — Node.js WebSocket 모듈의 인증 우회 취약점. 공격자가 super-admin 권한 획득 가능. 실제 공격에 활용 중임이 확인됐다.
      

영향: FortiOS 7.0.0~7.0.16, FortiProxy 7.0.0~7.0.19 및 7.2.0~7.2.12
패치: FortiOS 7.0.17+, FortiProxy 7.0.20+ / 7.2.13+

③ Apache Tomcat

        CVE-2025-24813 (NVD 9.8) — 경로 동등성(path equivalence) 결함. 2025년 3월 10일 공개 후 약 30시간 만에 악용 관측. 다만 RCE로 이어지려면 기본값이 아닌 조건이 모두 충족돼야 한다 — 기본 서블릿 쓰기 활성화(기본 비활성), Partial PUT 지원(기본 활성), 파일 기반 세션 저장 사용, 클래스패스의 역직렬화 가젯. 조건이 까다로워 실환경 악용 성공 확인은 제한적이다.
      

영향: Tomcat 11.0.0~11.0.2, 10.1.0~10.1.34, 9.0.0.M1~9.0.98
패치: 11.0.3+, 10.1.35+, 9.0.99+
임시 조치: DefaultServlet readonly=true 설정, Partial PUT 비활성화

④ VMware ESXi · Workstation · Fusion

        CVE-2025-22224 (CVSS 9.3) — TOCTOU(Time-of-Check-Time-of-Use)로 인한 out-of-bounds write. VM에 대한 로컬 관리자 권한을 가진 공격자가 호스트의 VMX 프로세스 권한으로 코드를 실행할 수 있다. 원격 공격은 불가능하며 VM 내 특권 접근이 선행돼야 한다. Broadcom이 실환경 악용 정황을 확인했고 CISA KEV에 등재됐다.
      

영향: ESXi 7.0 · 8.0, Workstation Pro/Player, Fusion, VMware Cloud Foundation, Telco Cloud Platform. vCenter는 이 권고의 직접 영향 대상이 아니다(Broadcom 명시). 동반 취약점 CVE-2025-22225(8.2), CVE-2025-22226(7.1).
패치: VMSA-2025-0004 Response Matrix의 Fixed Version 적용. 라이브 패치는 사용할 수 없다.

취약점 관리 우선순위 원칙

모든 취약점을 동시에 패치하는 것은 현실적으로 불가능하다. 다음 기준으로 우선순위를 결정하라.

CISA KEV 등록 여부: 실제 공격에 활용 중인 취약점 최우선
인터넷 노출 여부: 외부 접근 가능한 시스템 우선
CVSS + EPSS 조합: 심각도와 실제 익스플로잇 확률 동시 고려
자산 중요도: 핵심 인프라, 개인정보 처리 시스템 우선

패치 주기를 단축하는 것만큼 중요한 것이 '무엇을 먼저 패치할지'를 아는 것이다. 전수 취약점 패치보다 올바른 우선순위가 실질적 보안을 높인다.