재택근무용 SSL-VPN 장비가 회사 네트워크의 정문이 된 지 오래다. 그 정문이 지금 공격받고 있다. 2026년 8월 말, SonicWall은 원격접속 어플라이언스 SMA1000의 취약점 두 건(CVE-2026-83548, CVE-2026-83549)이 실제 공격에 쓰이고 있다고 공식 확인했다. 두 건을 이으면 인증 없이 원격 코드 실행(RCE) 까지 간다. 미국 CISA는 곧바로 KEV(실제 악용 취약점 목록)에 올리고 9월 5일까지 조치를 지시했다.
왜 VPN 장비가 계속 뚫리나
지난 2년간 실제 침해사고의 단골 진입점은 웹서비스가 아니라 경계 장비였다. Ivanti, Fortinet, Citrix NetScaler(관련 분석), 그리고 이번 SonicWall까지. 공격자들이 경계 장비를 선호하는 이유는 명확하다.
- 항상 인터넷에 노출돼 있다. 스캔하면 바로 찾힌다.
- 뚫리면 내부망 전체로 직행한다. 웹서버 한 대가 아니라 회사 전체가 걸린다.
- EDR·백신이 안 도는 블랙박스 어플라이언스라 침해돼도 티가 안 난다.
- 담당자가 없어 펌웨어가 수년째 방치된 경우가 흔하다.
특히 마지막이 문제다. 서버 패치는 챙겨도 VPN·방화벽 펌웨어는 "건드리면 장애 날까 봐" 미루는 회사가 많다. 공격자는 정확히 그 틈을 노린다.
지금 확인할 것
- 모델·버전 파악 — SMA1000 계열을 쓰고 있다면 펌웨어 버전을 확인하고 SonicWall 권고 버전으로 즉시 업데이트한다. 우리 회사가 무슨 장비를 쓰는지 바로 답할 수 없다면, 그 목록부터 만들어야 한다.
- 관리 인터페이스 노출 점검 — VPN 로그인 페이지는 어쩔 수 없이 열려 있어야 하지만, 관리 콘솔까지 인터넷에 열려 있으면 안 된다. 외부에서 관리 포트가 접근되는지 확인하라.
- 침해 전제 점검 — KEV 등재는 "이미 뚫린 곳이 있다"는 뜻이다. 패치 전 기간의 VPN 로그에서 낯선 관리자 로그인, 신규 계정 생성, 설정 변경 이력을 확인하라. 패치는 침입 이후를 지워주지 않는다.
- 다른 경계 장비도 같이 — 이번이 SonicWall이었을 뿐이다. 방화벽·VPN·로드밸런서 전부 펌웨어 버전과 관리자 계정 정책을 같은 기준으로 점검할 시점이다.
장비는 사두는 게 아니라 운영하는 것이다
이런 사고가 반복되는 근본 원인은 장비가 없어서가 아니라, 도입 후 운영이 없어서다. 펌웨어 추적, 정책 검토, 로그 확인은 누군가의 정기 업무여야 한다. SENTRIX는 방화벽·WAF·VPN 같은 보안장비의 도입 검토부터 정책 설계·상시 운영까지 담당한다. 진단으로 구멍을 찾은 사람이 장비 정책까지 챙기면, 이번 같은 "방치된 정문"이 생기지 않는다.
우리 회사 웹서비스가 지금 밖에서 어떻게 보이는지는 30초 무료 스캔으로 먼저 확인할 수 있다.