바라쿠다 ESG 취약점 패치 버전 — 9.4.0.030, 로그인 없이 루트 얻는 공격 확인

바라쿠다 네트웍스의 이메일 보안 게이트웨이(ESG)에서 로그인 없이 장비의 루트 권한까지 가는 취약점 두 건이 실제 공격에 쓰이고 있다. 바라쿠다는 2026년 11월 2일 CVE-2026-116606과 CVE-2026-111560을 공개하며 패치를 냈고, 11월 9일 오후 9시(미국 동부 시각, 한국 시각 11월 10일 오전 11시) 권고문에 "소수 조직"을 상대로 한 악용이 확인됐다는 내용을 더했다. 미국 사이버보안·인프라보안국(CISA)은 11월 10일 두 취약점을 악용 확인 목록(KEV)에 올리고 연방기관의 조치 시한을 사흘 뒤인 11월 13일로 정했다.

ESG는 회사 메일 서버 앞에 놓여 들어오고 나가는 메일을 걸러 내는 장비다. 이 장비의 루트 권한은 곧 조직의 메일 흐름 전체를 들여다보고 바꿀 수 있는 자리다. 2023년 같은 제품의 제로데이(CVE-2023-2868) 때는 패치로 끝나지 않고 침해된 장비를 통째로 교체하라는 권고까지 나왔다. 이번에는 무엇이 같고 무엇이 다른지, 관리자가 확인할 버전과 조치 순서를 권고문과 CVE 기록 원문으로 정리한다.

1. 어느 버전이 고쳐졌나 — ESG는 9.4.0.030, 나머지는 패치 번호로 확인

취약점은 두 건이고 영향 범위가 다르다. 인증 우회인 CVE-2026-116606은 ESG에만 있다. 명령어 주입인 CVE-2026-111560은 바라쿠다 장비들이 함께 쓰는 공통 코드에 있어서 여섯 제품이 모두 해당한다.

표를 읽을 때 주의할 점이 두 가지 있다.

첫째, 바라쿠다 권고문에는 고쳐진 펌웨어 빌드 번호가 없다. 권고문은 제품별 보안 패치 식별자만 적었다. 바라쿠다 장비는 펌웨어 판올림과 별도로 보안 패치가 내려오는 구조여서, 펌웨어 숫자만 보고 안전하다고 판단할 수 없고 패치가 실제로 적용됐는지를 함께 봐야 한다.

둘째, ESG의 기준 빌드는 출처마다 한 칸씩 다르다.

어느 쪽이 맞는지를 가릴 필요는 없다. 펌웨어 9.4.0.030 이상이고, 해당 패치가 적용됨으로 표시돼 있으면 위의 모든 기준을 만족한다. 9.4.0.029에서 멈춰 있다면 인증 우회 쪽 CVE 기록의 영향 범위 안에 들어가므로 한 번 더 올리는 편이 안전하다.

점수도 한 번 짚어 둘 만하다. CVE-2026-116606은 CVSS 4.0 기준 9.3점, CVE-2026-111560은 8.6점이다. 바라쿠다 권고문은 두 건 모두 심각도를 '높음(High)'으로 적었지만 9.3점은 CVSS 구간으로는 '치명적(Critical)'에 해당하고, CVE 기록도 그렇게 표기했다. 워치타워는 패치 파일 안의 주석에 9.8이라는 숫자가 적혀 있다고 전했다. 점수를 읽는 방법은 「CVSS란 — 깃랩 취약점이 10점이 아니라 9.9점인 이유」에 있다.

2. 어떻게 뚫리나 — 비밀번호 변경 실패가 문을 연다

두 취약점은 각각으로도 문제지만 이어 붙였을 때 위력이 달라진다.

흐름은 이렇다(워치타워 분석과 CVE 기록 기준, 공격에 쓸 수 있는 세부는 생략).

②가 CVE-2026-116606, ④가 CVE-2026-111560이다. 뒤의 것은 원래 관리자여야 쓸 수 있는 취약점인데, ESG에서는 앞의 것이 그 관리자 자리를 대신 열어 준다. 그래서 ESG에서만 '로그인 없이 루트'가 성립한다. 나머지 다섯 제품은 공개된 정보 기준으로 관리자 권한이 있어야 명령어 주입에 닿는다. 그렇다고 미뤄도 된다는 뜻은 아니다. 관리자 계정이 다른 경로로 탈취되면 루트까지 한 걸음이기 때문이다.

'인증 필요 여부'는 권고문에서도 한 번 바뀌었다. 바라쿠다는 11월 2일에는 CVE-2026-116606에 관리자 권한이 필요하다고 적었다가, 11월 5일 오후 2시 30분(미국 동부 시각) 이 항목을 '아니오(관리자 화면 접근은 필요)'로 고쳤다. 같은 날 워치타워가 두 취약점을 잇는 분석을 공개했다. 블리핑컴퓨터도 11월 6일 기사를 갱신해 공격자에게 관리자 권한이 필요 없다는 점을 반영했다.

남는 조건은 하나다. 공격자가 관리자 화면에 닿을 수 있어야 한다. 바라쿠다는 관리 인터페이스를 인터넷에 내놓지 않은 조직은 노출이 적다고 밝혔다. 메일을 받는 포트(SMTP)만 인터넷에 열려 있고 관리 화면은 내부망에서만 열리는 구성이라면 바깥에서 곧바로 이 경로를 쓸 수 없다. 다만 내부에 이미 들어온 공격자에게는 여전히 열려 있는 길이다.

3. 지금 할 일 — 확인과 조치 순서

2~5의 메뉴 경로는 바라쿠다 지원 문서를 인용한 보안업체 스렛디펜스의 정리에 따른 것이다. 펌웨어 판에 따라 이름이 조금 다를 수 있다.

바라쿠다는 패치가 자동으로 적용되지 않은 경우 수동으로 적용하라고 했다. 스렛디펜스에 따르면 패치 적용 방식의 문서상 기본값은 '사용 안 함'이어서, 이 값이 그대로면 패치 목록만 보이고 적용은 되지 않는다. "자동으로 받았겠지"라고 넘기지 말고 화면에서 적용 여부를 눈으로 확인해야 하는 이유다.

흔적 점검이 어려운 것은 바라쿠다가 침해 지표를 내놓지 않았기 때문이다. 권고문에는 공격에 쓰인 주소도, 남는 파일도 없다. 아래는 워치타워가 공개한 취약점 구조와 스렛디펜스가 제시한 추적 항목을 묶은 것으로, 공식 지표가 아니라 살펴볼 단서다.

스렛디펜스는 점검 시작 시점을 2026년 10월 15일로 잡으라고 권했다. 맨디언트 기록에서 가장 이른 보고일이다. 의심스러운 흔적이 나오면 관리 화면의 인터넷 접근을 끊고, 설정 백업과 로그를 보존한 뒤, 장비를 다시 세우기 전에 바라쿠다 지원팀에 연락하는 순서를 권했다. 장비가 갖고 있던 계정 정보(디렉터리 연동 계정, 메일 서버 접속 정보 등)는 바꿔야 한다.

CISA 목록에서도 이 두 건은 무게가 다르게 실렸다. 11월 10일 함께 오른 여섯 건 가운데 마이크로소프트 아웃룩, 구글 크로미움, 시스코 BroadWorks, 오픈웨이브 네 건은 시한이 11월 24일이고 포렌식 선별 대상이 아니다. 바라쿠다 두 건은 시한이 11월 13일이고 포렌식 선별 대상으로 표시됐다. 이 시한은 미국 연방 민간기관에 대한 구속력만 있지만, 어느 것을 먼저 손댈지 정하는 기준으로는 누구에게나 쓸모가 있다.

4. 2023년과 무엇이 다른가 — 패치가 공격보다 먼저 나왔다

바라쿠다 ESG라는 이름이 보안 담당자에게 유독 무겁게 들리는 것은 2023년 때문이다. 그해 5월 드러난 CVE-2023-2868은 이미 일곱 달 가까이 악용되고 있던 제로데이였고, 바라쿠다는 6월 6일 침해된 장비는 패치 버전과 관계없이 즉시 교체해야 한다고 공지했다. 보안 장비 회사가 자사 장비를 고치지 말고 바꾸라고 한 드문 사례다.

가장 큰 차이는 순서다. 2023년에는 공격이 먼저였고 방어자는 일곱 달 뒤에야 알았다. 그 사이 공격자는 장비 깊숙이 자리를 잡았고, 패치로는 이미 심어진 것을 걷어 낼 수 없어 교체로 갔다. 2026년에는 바라쿠다가 먼저 찾아 고쳤고, 공격은 패치 공개 일주일 뒤에 확인됐다. 제로데이가 아니라 패치가 있는 취약점을 노린 공격이다(차이는 「제로데이란 — 패치가 없는 취약점이 가장 비싼 이유」). 패치를 제때 받은 장비는 이번 공격의 대상이 아니다.

두 번째 차이는 경로다. 2023년 취약점은 메일 첨부 파일을 처리하는 과정에 있었다. 메일을 받는 것이 본업인 장비라 막을 방법이 없었다. 이번에는 관리자 화면이다. 관리 인터페이스를 내부망에 가둬 둔 조직은 바깥에서 곧바로 맞지 않는다.

그렇다고 안심할 근거만 있는 것은 아니다. 패치가 나오면 공격자도 패치를 읽는다. 11월 2일 패치 공개, 11월 5일 워치타워의 상세 분석과 노출 점검 도구 공개, 11월 9일 악용 확인이라는 흐름은 패치와 공격 사이가 일주일이었음을 보여 준다. 자동 패치가 꺼져 있던 장비, 관리 화면이 인터넷에 열려 있던 장비가 그 일주일의 표적이다. 그리고 이번에도 침해가 확인된 장비는 패치만으로 끝나지 않는다. 루트 권한을 내준 장비에 무엇이 남았는지는 패치가 지워 주지 않는다.

5. 같은 주 다른 경계 장비 취약점

같은 주에 네트워크 경계 장비와 통신 장비에서 굵은 건이 겹쳤다. 바라쿠다 장비가 없는 조직도 확인할 것이 있다.

포티넷은 11월 10일 치명적 등급 권고 여덟 건을 한꺼번에 냈다. FortiManager와 FortiAnalyzer는 방화벽 수백 대의 설정과 로그를 한곳에서 다루는 관리 장비여서, 이쪽이 뚫리면 그 아래 방화벽 전체가 영향을 받는다. 수정 버전은 권고문마다 다르고 일부는 아직 배포 예정으로 표기돼 있어 이 표에는 넣지 않았다.

시스코 BroadWorks는 통신사가 기업용 전화 서비스를 운영하는 플랫폼이다. 시큐리티위크는 보안업체 말베어 랩스가 11월 8일 유럽 통신사를 겨냥한 공격에서 이 취약점이 쓰였다고 보고했다고 전했다. 8월에 나온 패치가 석 달 뒤 악용 목록에 오른 사례다. 패치 공개와 악용 사이가 일주일일 수도, 석 달일 수도 있다는 점에서 바라쿠다 건과 나란히 볼 만하다.

6. 남은 것과 확인되지 않은 것

• 피해 규모 — 바라쿠다가 밝힌 것은 "소수 조직"이 전부다. 숫자도 업종도 지역도 없다.
• 공격 주체 — 바라쿠다와 CISA 모두 밝히지 않았다. 2023년 사건의 UNC4841과 연결할 근거는 공개된 자료에 없다.
• 두 취약점이 함께 쓰였는지 — 권고문은 조합하면 루트 권한을 얻을 수 있다고 했을 뿐, 실제 공격이 어떤 방식이었는지는 적지 않았다. 프레비디언이 관측한 17건은 CVE-2026-116606을 겨냥한 시도이고 성공 여부는 알려지지 않았다.
• 침해 지표 — 공식 지표가 없다. 3절의 점검 항목은 취약점 구조에서 거꾸로 짚은 단서다.
• 정확한 빌드 — 9.4.0.029와 9.4.0.030 가운데 어느 빌드에서 인증 우회가 완전히 닫혔는지 바라쿠다가 직접 밝힌 문장은 권고문에 없다.
• 교체 권고 여부 — 11월 9일 수정본까지는 없다. 침해 조사가 진행되면 달라질 수 있다.
• 국내 영향 — 한국 내 ESG 운영 대수나 피해 사례는 이번 취재에서 확인하지 못했다.

같은 주의 패치 전반은 「11월 패치 화요일 CVE-2026-124194 — 1,094건 중 6.5점 아웃룩 제로데이가 먼저인 이유」에 정리돼 있다. 점수가 낮아도 악용 중인 것이 먼저라는 그 기사의 결론은 여기에도 그대로 적용된다. 로그인 없이 데이터를 바꾸는 취약점의 다른 사례는 「드루팔 커머스 취약점 패치 버전 — 3.3.13·8.x-2.41, 로그인 없이 주문 데이터를 고친다」에서 다뤘다.