악성코드를 해부하는 장비가 정작 자기 셸을 내주는 자리 — FortiSandbox 명령 주입 CVE-2026-25089

이미지 출처: CISA KEV

운영 현장에서 FortiSandbox는 좀 특이한 위치에 있는 장비다. 메일 게이트웨이나 방화벽이 "이거 수상한데?" 싶은 첨부파일·URL을 넘기면, 이 장비가 격리된 가상 환경 안에서 실제로 파일을 터뜨려 보고 행위를 관찰해 악성 여부를 판정한다. 말하자면 위험한 걸 대신 만져주는, 방어팀 입장에서는 손이 하나 더 있는 셈인 장비다. 그런데 이번에 공개된 CVE-2026-25089는 바로 그 "위험을 다루는 장비" 자신에게 OS 명령 주입(OS Command Injection) 결함이 있다는 이야기다. 남의 악성코드를 뜯어보던 도구가, 어떤 조건에서는 자기 운영체제에 공격자의 명령을 그대로 흘려보낸다는 것.

핵심 요약

• FortiSandbox의 특정 입력 처리 경로에서 운영체제 명령이 그대로 실행되는 명령 주입 결함(CVE-2026-25089)이다.
• 보안 분석용 장비가 오히려 침투 발판이 될 수 있어, 관리 인터페이스 접근 통제와 패치가 최우선 완화책이다.
• 탐지는 장비 자체 로그·프로세스 이상·비정상 외부 통신을 함께 봐야 신뢰도가 올라간다.

OS 명령 주입이 위험한 이유부터

개념은 의외로 단순함. 애플리케이션이 사용자가 넣은 값을 셸 명령의 일부로 조립해 실행할 때, 그 값에 명령 구분자나 추가 인자를 끼워 넣으면 원래 의도에 없던 명령까지 같이 돌아가는 것. 웹 화면의 입력칸이든 관리 API의 파라미터든, "이 값은 그냥 파일 이름이겠지" 하고 신뢰한 문자열이 사실은 셸에게 던지는 지시문이 되는 순간 문제가 시작됨.

이번 건에서 핵심은 "경계"가 무너지는 지점임. FortiSandbox는 원래 파일을 가상 환경 안에 가두고, 그 안에서 벌어지는 일이 장비 본체(호스트)로는 못 넘어오게 설계되어 있음. 그런데 명령 주입은 그 격리막을 우회해서 관리 평면(management plane)에 직접 명령을 심는 방식이라, 샌드박스가 애써 만든 격리와는 다른 층위에서 뚫리는 것. 구체적인 취약 버전 범위나 점수는 벤더 어드바이저리에서 정확히 확인하는 게 맞고, 여기서 숫자를 단정하진 않겠음.

공격자가 노리는 그림 (개념 수준)

실행 가능한 페이로드를 늘어놓을 생각은 없고, 방어 설계에 필요한 만큼만 짚음.

• 진입점은 대개 관리 인터페이스(웹 콘솔·관리용 API)임. 그래서 "이 장비 관리 화면에 누가 닿을 수 있나"가 사실상 첫 번째 방어선이 됨.
• 명령 주입이 성공하면 공격자는 장비 OS 위에서 명령 실행이 가능해지고, 여기서 지속성 확보·자격증명 수집·내부 이동으로 이어질 수 있음.
• 특히 보안 장비는 다른 시스템의 로그·검체·연동 계정을 쥐고 있는 경우가 많아, 한 대가 뚫리면 파급이 장비 한 대에서 끝나지 않음. "신뢰받는 위치"라는 점이 오히려 독이 되는 구조.

어떻게 탐지할까

명령 주입은 화려한 익스플로잇 없이도 조용히 성공할 수 있어서, 단일 신호만 보면 놓치기 쉬움. 여러 층을 겹쳐서 봐야 함.

• 장비 자체 로그·감사 기록: 관리 API 호출 중 파라미터에 세미콜론·파이프·백틱 같은 셸 메타문자가 섞인 요청, 평소와 다른 시각·출발지에서 온 관리 접근을 눈여겨봄.
• 프로세스·행위 이상: 정상 운영이라면 나올 리 없는 프로세스(예: 관리 서비스가 갑자기 셸이나 네트워크 유틸리티를 자식 프로세스로 띄우는 패턴)를 이상 징후로 잡음.
• 아웃바운드 통신: 샌드박스가 검체 분석 목적 외에, 관리 평면에서 낯선 외부 주소로 나가는 연결을 시도하면 강한 경보로 취급. 보안 장비의 예상 통신 목적지는 비교적 목록화가 쉬운 편이라 이 방식이 잘 먹힘.
• 무결성 점검: 설정·계정·크론(예약 작업)에 몰래 추가된 항목이 없는지 주기적으로 스냅샷과 대조.

완화와 대응 순서

• 패치가 1순위: 벤더가 배포한 수정 버전으로 올리는 게 근본 해결책임. 어떤 버전대가 영향받는지, 픽스가 어느 릴리스에 들어갔는지는 공식 어드바이저리를 기준으로 확인.
• 관리면 노출 최소화: 관리 인터페이스를 인터넷에 직접 열어두지 말고, 관리 전용 세그먼트·점프호스트·VPN 뒤로 넣음. "닿을 수 있는 사람이 적을수록 뚫릴 확률도 준다"는 원칙이 그대로 적용됨.
• 접근 통제·최소권한: 관리 계정은 다중 인증을 걸고, 출발지 IP를 화이트리스트로 좁힘. 장비가 다른 시스템에 붙을 때 쓰는 연동 계정도 권한을 최소로 깎아둠.
• 세그먼트 격리: 만에 하나 장비가 넘어가도 옆으로 못 번지게, 보안 장비 네트워크를 내부 핵심 자산과 분리해 둠.

개인적으로는 이런 뉴스가 뜰 때 "우리 이 장비 관리 화면, 지금 어디서 접속돼요?"를 팀 채널에 한 번 던져보길 추천함. CVE 번호 외우는 것보다 그 한 문장이 훨씬 실질적이더라. 위험을 대신 안아주라고 들여놓은 장비일수록, 그 장비 자신을 지키는 일도 같은 무게로 챙겨야 한다는 걸 이번 건이 다시 일깨워 준다. 각자 환경에서 관리 접근 경로부터 점검해보고, 헷갈리는 부분 있으면 댓글로 같이 이야기해봐요.