관리자 접속은 확인되는데 뒤따른 작업 기록이 비어 있다면, 조사자는 어디까지 판단할 수 있을까요. 최근 발표된 VMware ESX의 CVE-2026-41709는 관리자 권한으로 수행한 일부 작업이 기록되지 않을 수 있는 취약점입니다. 로그가 없다는 사실을 행위가 없었다는 증거로 삼기 어려운 이유입니다.
2026년 10월 31일 기준으로 10월 24~31일의 공식 대응 동향을 살펴보고, 해당 호스트의 패치 판단과 감사 증거의 확인 범위를 정리합니다. 제품 공지의 ESX 표기와 호스트 수정 빌드의 ESXi 표기를 구분해 읽어야 합니다.
이번 주의 변화는 최초 공개가 아닌 실제 악용 목록 등록입니다
Broadcom 공지의 최초 공개일은 2026년 7월 29일입니다. 해당 CVE의 최대 CVSSv3 기본 점수는 2.7(Low)이며, 공개된 전제는 악의적인 관리자입니다. 이 취약점 자체가 관리자 권한을 얻어 준다는 설명은 아닙니다. Broadcom 공지 3e
CISA의 알려진 실제 악용 취약점 목록인 KEV에는 10월 28일 추가됐습니다. KISA의 업데이트 권고는 10월 30일입니다. 이번 주의 대응 근거를 최초 발견일이나 최초 공격일로 바꾸어 쓰면 안 됩니다. KEV의 랜섬웨어 캠페인 사용 여부는 Unknown으로, 특정 랜섬웨어와의 연관은 확인되지 않았습니다. CISA 공식 KEV 원자료 · KISA 권고
Broadcom은 로그에서 빠질 수 있는 작업을 구체적인 명령·API·파일별로 공개하지 않았습니다. 따라서 모든 로그가 사라진다거나 기존 기록을 삭제하는 기능이라고 단정할 수 없습니다. KEV 등록은 악용 대응의 우선순위를 높이는 근거이지만, 특정 조직의 침해를 입증하는 자료는 아닙니다.
ESXi와 vCenter의 기록은 서로 다른 관찰 지점입니다
ESXi는 가상머신을 실행하는 호스트이며, vCenter는 호스트를 중앙에서 관리합니다. 감사에 활용하는 기록도 한 파일로 모이지 않습니다. 아래는 일반적인 로그의 역할이며, 이 CVE가 누락시키는 파일 목록이 아닙니다. ESXi 로그 문서 · vCenter 로그 문서
| 관찰 지점 | 확인할 단서 | 판단의 경계 |
|---|---|---|
| ESXi auth.log·shell.log | 셸 인증과 셸 사용·입력 명령 | 셸 밖의 API 작업까지 기록한다고 볼 수 없습니다. |
| ESXi hostd.log·vpxa.log | 호스트 관리 작업·이벤트와 관리 에이전트 통신 | 통신 흔적만으로 작업 내용 전체를 확정하지 않습니다. |
| vCenter vpxd.log | 클라이언트 연결, 내부 작업·이벤트, 호스트 에이전트와의 통신 | 호스트 직접 접속의 모든 행위를 복제한다고 가정하지 않습니다. |
vCenter를 거친 작업은 중앙 작업·이벤트와 호스트 기록을 대조하고, 호스트에 직접 접속한 경로는 따로 확인하는 것이 좋습니다. vCenter 로그 문서가 명시한 환경은 6.7·7·8 계열이므로, 같은 경로와 세부 항목을 9 계열 전체에 보장하지는 않습니다.
공유 계정의 로그인은 계정 사용의 단서이지 실제 사람의 확정 증거는 아닙니다. 접근중계·VPN·인증 기록, 작업 승인 내역, 대상 자원의 변경 상태를 시각과 세션 기준으로 비교할 수 있습니다. 이는 조사 제안이며, 다른 시스템의 기록이 누락된 명령을 반드시 복원해 준다는 뜻은 아닙니다.
CVE별 수정 버전과 실제 호스트 빌드를 대조합니다
아래는 CVE-2026-41709의 영향 계열과 공식 수정 기준입니다. 같은 공지에 포함된 vCenter 취약점의 수정 버전이나 공지 전체의 최고 점수를 이 CVE에 적용해서는 안 됩니다. Broadcom 대응표 3e · KISA 제품별 해결 방안
| 제품·영향 계열 | 이 CVE의 공식 수정 기준 |
|---|---|
| VMware ESX 8.0 | ESXi80U3j-25429389 |
| Cloud Foundation·vSphere Foundation 9.0.x.x의 ESX | ESXi-9.0.2.0100-25595025 |
| Cloud Foundation·vSphere Foundation 9.1.x.x의 ESX | ESXi-9.1.0.0-25370933 |
| Cloud Foundation 5.x | 5.2.4 |
| Telco Cloud Platform 5.0.x·5.1.x의 ESX | 8.0 U3j（KB449886） |
표는 전체 제품의 최신 권장 버전 목록이 아닙니다. 관리 제품 버전과 ESXi 컴포넌트 빌드를 각각 확인하고, 통합 제품의 호환성과 제품별 적용 절차를 따라야 합니다. Telco의 수정 기준도 플랫폼 전체 버전이 아닌 ESX 컴포넌트 기준입니다. Telco 공식 대응표
해당 CVE의 공식 우회책은 없습니다. 유지보수 창, 워크로드 이동, 백업과 복구 준비를 검토한 뒤 수정 포함 여부와 적용 후 빌드를 확인하십시오. 관리자 접근 제한과 로그 보호는 보완 조치이며, 패치는 과거에 생성되지 않은 기록을 되살리지 않습니다.
패치 확인과 정상 수신 시험은 다른 증거를 남깁니다
운영 점검에서는 개인별 관리자 계정과 필요한 권한을 확인하고, 로컬·비상·자동화 계정 및 직접 호스트 접속도 점검 범위에 넣는 것이 좋습니다. 인증을 강화한 관리 경로가 있더라도 다른 접속 경로까지 같은 통제를 받는지는 별도로 확인해야 합니다.
ESXi의 외부 Syslog 전송은 생성된 기록을 호스트 밖에 보관하는 수단입니다. 수신지·프로토콜·포트, 방화벽과 TLS 사용 시 인증서 신뢰를 확인하고, 보관 서버의 삭제 권한은 가상화 운영 권한과 분리하는 방안을 검토하십시오. 원격 보존기간은 수신 서버에서 관리합니다. Broadcom Syslog 설정 문서
- 수정 확인: 대상 호스트의 제품·적용 전후 빌드와 수정 포함 근거를 남깁니다. 업데이트 작업의 성공 표시만으로 끝내지 않습니다.
- 생성 확인: 허용된 점검 시간과 계정으로 무해한 조회 작업을 정하고, 해당 경로에서 예상하는 로컬 이벤트가 생기는지 확인합니다. 확인을 위해 SSH를 새로 상시 개방하지 않습니다.
- 전송·보관 확인: 같은 시험의 원본과 호스트·계정·발생 시각을 외부 수신 기록과 대조합니다. 수신 시각, 파싱 결과, 저장 공간과 수신 중단 경고도 확인합니다.
- 결과 기록: 시험한 관리 경로, 남은 증거, 확인하지 못한 이벤트를 적습니다. 일반 수신 시험 결과와 CVE 수정 적용 근거를 별도 항목으로 보고합니다.
외부 전송으로 처음부터 생성되지 않은 이벤트를 복원할 수는 없습니다. 정상 수신 시험은 시험한 이벤트의 수집 동작을 보여줄 뿐, 공개되지 않은 악용 조건의 수정 검증을 대신하지 않습니다. 누락을 발견하면 생성 실패, 전송 장애, 보존 만료를 구분하고, 침해가 의심될 때는 증거 보존과 패치 순서를 대응 담당자와 조율해야 합니다.
자주 묻는 질문
vCenter만 업데이트하면 이 취약점이 해결됩니까?
이 CVE의 수정 대상은 ESX 컴포넌트입니다. vCenter 업데이트 여부와 별도로 각 ESXi 호스트의 제품·빌드를 해당 CVE의 공식 수정 기준과 대조해야 합니다.
외부 수집기에 로그가 들어오면 패치 검증도 끝난 것입니까?
정상 수신은 시험한 이벤트가 전달됐다는 근거입니다. CVE 수정 적용 여부는 호스트 빌드와 수정 포함 근거로 따로 확인해야 하며, 수신 시험만으로 공개되지 않은 악용 조건까지 검증했다고 볼 수 없습니다.
관리자 작업 로그가 비어 있으면 침해로 판단해야 합니까?
로그 공백만으로 침해를 확정할 수는 없습니다. 이벤트 미생성, 전송 장애, 보존 만료를 구분하고 다른 관찰 지점의 기록과 대조해야 합니다. 연결할 수 없는 구간은 미확인으로 남겨야 합니다.
결론
대응의 출발점은 CVE별 수정 기준에 맞춘 자산 확인입니다. 이후 관리자 접속 경로와 호스트·vCenter의 관찰 범위를 점검하고, 생성된 이벤트가 외부에 남는지 시험해야 합니다. 조사 기록에는 확인한 사실과 확인할 수 없었던 구간을 함께 남기는 것이 적절합니다.
결론
대응의 출발점은 CVE별 수정 기준에 맞춘 자산 확인입니다. 이후 관리자 접속 경로와 호스트·vCenter의 관찰 범위를 점검하고, 생성된 이벤트가 외부에 남는지 시험해야 합니다. 조사 기록에는 확인한 사실과 확인할 수 없었던 구간을 함께 남기는 것이 적절합니다.