Serv-U가 스스로 멈추는 날 — CVE-2026-28318, 자원 고갈이라는 조용한 위협

이미지 출처: 재시도

파일 전송 서버는 평소엔 존재를 잊고 지내는 인프라임. 사용자들은 그냥 파일을 올리고 내리며, 관리자도 디스크 용량이나 인증서 만료 정도만 신경 씀. 그런데 그 조용한 서버가 어느 순간 응답을 멈추고, 재시작해도 금세 다시 먹통이 된다면 이야기가 달라짐. SolarWinds Serv-U에서 보고된 CVE-2026-28318은 바로 그런 종류의 결함임. 누군가 데이터를 훔쳐가는 게 아니라, 서버가 자기 자원을 통제하지 못해 스스로 무너지는 제어되지 않은 자원 소비(Uncontrolled Resource Consumption, CWE-400) 문제임.

핵심 요약

• CVE-2026-28318은 SolarWinds Serv-U의 자원 고갈 계열 취약점으로, 가용성(서비스 중단)을 노리는 DoS 성격임.
• 정보 유출형이 아니라 CPU·메모리·연결을 소진시켜 파일 전송 서비스를 마비시키는 방식임.
• 방어 핵심은 패치 적용 + 자원 사용량·연결 폭증을 잡아내는 모니터링과 비정상 요청 차단임.

제어되지 않은 자원 소비가 뭐길래

대부분의 취약점 기사는 "데이터가 털렸다"에 초점을 둠. 하지만 자원 고갈형은 결이 다름. 공격자가 특정 형태의 요청을 반복하거나, 처리 비용이 비정상적으로 큰 입력을 보내면 서버가 그걸 거르지 못하고 끝까지 처리하려다 자원을 다 써버림. 결과는 메모리 폭증, CPU 100% 점유, 연결 슬롯 고갈 같은 형태로 나타남. 정상 사용자는 접속조차 못 하게 되는 거죠.

Serv-U는 SFTP·FTPS·HTTPS 등 여러 프로토콜로 외부에 노출되는 관리형 파일 전송(MFT) 솔루션임. 외부에서 직접 닿을 수 있는 표면이 넓다는 뜻이고, 그만큼 한 줄의 비정상 요청이 전체 가용성을 흔들 여지가 큼. 인증이 필요한지 비인증 상태에서도 가능한지, 어느 버전이 영향을 받는지는 벤더 권고문 기준으로 확인하는 게 정확함.

왜 방어자가 더 긴장해야 하나

자원 고갈은 흔적이 애매해서 사고로 오인되기 쉬움. "그냥 트래픽이 몰렸나 보다", "서버가 노후됐나 보다" 하고 넘기다 보면 같은 패턴이 반복되어도 공격으로 인지하지 못함. 특히 파일 전송 서버는 업로드 폭주가 정상 업무일 수도 있어서, 정상과 비정상의 경계가 모호함. 이게 자원 고갈형 취약점이 위험한 진짜 이유임 — 터졌는데도 공격인 줄 모르는 것.

탐지: 무엇을 어디서 봐야 하나

• 자원 베이스라인 확보: 평상시 Serv-U 프로세스의 CPU·메모리·열린 연결 수를 기록해 둠. 기준선이 없으면 "이상"을 정의할 수 없음.
• 급격한 연결·세션 증가: 동일 출발지나 소수 IP에서 짧은 시간에 세션이 비정상적으로 늘어나는지 모니터링함. 인증 실패가 동반되는지도 함께 봄.
• 처리 시간이 긴 요청: 응답 지연이 길어지거나 특정 요청 유형에서 처리 시간이 튀는 구간을 로그·APM으로 추적함.
• 재시작 빈도: 서비스가 반복적으로 죽거나 워치독이 자주 재기동한다면 단순 장애가 아니라 의도적 고갈을 의심함.
• 네트워크단 이상 패턴: 방화벽·IPS 로그에서 동일 페이로드 길이의 요청이 규칙적으로 반복되는지 확인함.

완화: 지금 당장 할 수 있는 것

• 패치 우선: 가장 확실한 해법은 벤더가 배포한 수정 버전으로 올리는 것임. 자원 고갈형은 입력 검증·처리 한도가 코드 레벨에서 고쳐지는 경우가 많아 우회 설정만으로는 한계가 있음.
• 노출면 축소: 인터넷에 직접 열어둔 Serv-U라면 접근 가능한 IP를 화이트리스트로 좁히거나 VPN·리버스 프록시 뒤로 넣음. 닿을 수 없으면 고갈도 어려움.
• 속도·연결 제한: 앞단 WAF나 로드밸런서에서 IP당 연결 수·요청률 제한(rate limiting)을 걸어 한 출발지가 자원을 독식하지 못하게 함.
• 자원 격리: 서비스에 메모리·CPU 상한을 두거나 별도 호스트로 분리해, 고갈이 나더라도 다른 서비스로 번지지 않게 함.
• 경보 자동화: 자원 임계치 초과 시 즉시 알림이 오도록 구성함. 사람이 대시보드를 들여다보고 있을 때만 잡히는 모니터링은 새벽 공격에 무력함.

마무리하며

화려한 원격 코드 실행만 위협인 건 아님. 서버가 그냥 멈춰서 아무도 일을 못 하게 되는 것도, 비즈니스 입장에선 똑같이 뼈아픈 사고임. CVE-2026-28318 같은 자원 고갈 취약점은 "터졌는데 공격인 줄 모르는" 함정이 가장 무서움. 그래서 개인적으로는 패치 적용과 더불어 평상시 자원 베이스라인을 잡아두는 습관을 가장 추천함. 기준선이 있어야 "이상"이 보이거든요. 운영 중인 Serv-U가 있다면 오늘 한 번, 평소 CPU·메모리·연결 수가 얼마나 되는지부터 같이 들여다봐요. 여러분의 환경에선 어떤 모니터링을 쓰고 계신지 댓글로도 알려주세요.