BeyondTrust Remote Support Pre-Auth RCE 취약점(CVE-2026-1731, CVSS 9.9) 분석. 14개월 전 같은 제품에서 미국 재무부가 뚫렸고, 이번엔 AI가 먼저 찾았다. 원격 지원 도구가 공격 통로가 되는 구조적 원인을 분석한다.
BeyondTrust Remote Support에서 인증 없이 원격 코드를 실행할 수 있는 취약점(, CVSS 9.9)이 공개됐다. 14개월 전 같은 제품의 같은 유형 취약점()으로 미국 재무부가 침해당했다. 이번에는 AI가 먼저 찾아 패치가 나왔지만, 인터넷에 노출된 8,500대의 온프레미스 서버가 여전히 위험하다.
2024년 12월 2일. BeyondTrust의 보안팀이 이상 행동을 탐지했다.
누군가 Remote Support SaaS의 API 키를 탈취했다.
이 API 키로 할 수 있는 일은 단순했다. 로컬 계정의 비밀번호를 초기화하는 것.
초기화된 계정으로 원격 접속하면? 기술 지원 담당자가 고객 PC를 원격 조종하듯, 워크스테이션을 통째로 제어할 수 있다.
공격자는 이 방법으로 미국 재무부에 들어갔다.
3일 뒤인 12월 5일, BeyondTrust가 API 키를 폐기했다. 12월 8일, 재무부에 통보했다. 12월 30일, 재무부가 의회에 보고했다.
그 사이 공격자가 가져간 것들:
공격자는 Silk Typhoon. 중국 국가지원 APT 그룹으로, 과거 Microsoft Exchange Server 취약점(ProxyLogon)을 대규모로 악용한 그룹이다.
이때 악용된 취약점이 CVE-2024-12356. CVSS 9.8, Pre-authentication Command Injection.
BeyondTrust 취약점 반복
2026년 1월 31일.
보안 연구원 Harsh Jaiswal이 BeyondTrust Remote Support 코드를 분석하고 있었다. 그런데 직접 코드를 읽은 게 아니다. AI 에이전트를 돌렸다.
Jaiswal이 이끄는 Hacktron AI는 자율 보안 에이전트를 개발하는 회사다. 이 에이전트에게 시킨 작업은 "변형 분석(variant analysis)" — 이 패치된 지점 주변에서 같은 패턴의 다른 취약점을 찾는 것이다.
AI가 찾아냈다.
과 같은 유형, 같은 제품, 같은 공격 벡터. 인증 없이 OS 명령을 실행할 수 있는 또 다른 지점.
이것이 CVE-2026-1731이다.
| 항목 | 내용 |
|---|---|
| CVE | CVE-2026-1731 |
| CVSS v4.0 | 9.9 (Critical) |
| 유형 | CWE-78: OS Command Injection |
| 인증 필요 | 없음 (Pre-auth) |
| 영향 제품 | Remote Support ≤ 25.3.1, PRA ≤ 24.3.4 |
| 패치 | RS 25.3.2, PRA 25.1.1 |
"Exploitation is straightforward" — Help Net Security, 2026.02.09
BeyondTrust Remote Support가 뭘 하는 제품인지부터 이해해야 한다.
IT 헬프데스크 직원이 직원의 PC 문제를 원격으로 해결하는 도구다. 기업 내부망에 있는 PC에 방화벽을 뚫지 않고 접속할 수 있도록 설계됐다.
핵심 구성 요소는 B Series Appliance. 이 장비가 모든 통신의 중심점이다.
작동 방식을 단순화하면:
| 단계 | 동작 |
|---|---|
| 1 | 헬프데스크 직원이 B Series Appliance에 접속 |
| 2 | 고객 PC의 에이전트가 같은 Appliance에 연결 |
| 3 | Appliance가 둘 사이를 중재 |
| 4 | 원격 데스크톱, 파일 전송, 시스템 진단 가능 |
편리하다. 하지만 공격자 입장에서 보면?
이 Appliance는 의도적으로 방화벽을 우회하도록 만들어졌다. VPN 없이 내부 네트워크의 엔드포인트에 접근할 수 있다. 그리고 접속하면 파일 전송, 원격 데스크톱 제어, 시스템 정보 수집이 가능하다.
즉, 보안 도구 자체가 공격자의 이상적인 침투 경로가 된다.
이건 BeyondTrust만의 문제가 아니다. 2026년 1월에는 Fortinet FortiGate 방화벽에서 인증 우회 취약점()으로 10,000대 이상이 침해됐다. 보안 장비가 인터넷에 노출되고, 그 장비에 Pre-auth 취약점이 있으면 (방화벽이든 원격 지원이든) 공격자에게는 열린 문이다.
의 CVSS v4.0 벡터를 분해하면:
| CVSS 요소 | 값 | 의미 |
|---|---|---|
| Attack Vector | Network | 원격에서 공격 가능 |
| Attack Complexity | Low | 특별한 조건 불필요 |
| Privileges Required | None | 인증 없이 가능 |
| User Interaction | None | 피해자 행동 불필요 |
네 가지 조건이 전부 "최악"이다.
인터넷에서, 아무 조건 없이, 로그인 없이, 피해자가 아무것도 하지 않아도 공격이 성공한다.
결과도 심각하다. 기밀성, 무결성, 가용성 모두 High. 공격자는 site user 권한으로 OS 명령을 실행하므로, 서버에서 할 수 있는 거의 모든 것을 할 수 있다.
BeyondTrust가 연결하는 엔드포인트까지 고려하면, 하나의 Appliance 침해가 연결된 모든 내부 워크스테이션의 침해로 이어질 수 있다. 재무부 사건이 정확히 이 경로였다.
가장 주목할 점은 패턴이다.
| 비교 | CVE-2024-12356 | CVE-2026-1731 |
|---|---|---|
| 공개 | 2024년 12월 | 2026년 2월 |
| CVSS | 9.8 | 9.9 |
| 유형 | Command Injection | Command Injection |
| 인증 | Pre-auth | Pre-auth |
| 발견 | 공격 후 발견 | AI가 사전 발견 |
| 실제 악용 | Silk Typhoon → 재무부 | 미확인 |
14개월 동안 같은 제품군에서 Pre-auth Command Injection이 두 번 나왔다. 그리고 은 의 변형(variant)으로 발견됐다.
이것이 의미하는 바:
2024년 12월, BeyondTrust는 을 패치했다. 하지만 같은 코드 패턴이 다른 지점에 남아 있었다. 첫 번째 취약점을 고치면서 근본 원인을 제거하지 못한 것이다.
이 문제를 첫 번째 패치에서 잡았어야 했다. 하지만 잡지 못했고, 14개월이 지나서야 AI가 발견했다. 그 14개월 동안 이 변형을 다른 공격자가 먼저 찾았을 가능성은 배제할 수 없다.
이 사건에서 가장 흥미로운 부분은 발견 방식이다.
은 Silk Typhoon이 먼저 찾았다. 공격이 이미 진행된 뒤에야 취약점이 공개됐다. 재무부는 400대의 워크스테이션과 3,000건의 파일을 잃었다.
은 AI가 먼저 찾았다. Hacktron AI의 자율 보안 에이전트가 변형 분석을 수행해 발견했다. 발견부터 SaaS 패치까지 2일, 어드바이저리 공개까지 6일.
| 비교 | CVE-2024-12356 | CVE-2026-1731 |
|---|---|---|
| 선발견자 | 공격자 (Silk Typhoon) | 방어자 (Hacktron AI) |
| 발견 → 패치 | 14일+ | 2일 (SaaS) |
| 피해 | 재무부 400대 침해 | 없음 (현재까지) |
같은 제품, 같은 유형의 취약점. 하나는 국가가 먼저 찾아서 재무부를 뚫었고, 다른 하나는 AI가 먼저 찾아서 막았다.
그러나 위험이 사라진 것은 아니다. 인터넷에 노출된 약 8,500대의 온프레미스 Remote Support 서버는 수동으로 패치해야 한다. RS 21.3 이전 또는 PRA 22.1 이전 버전은 패치 적용이 불가능하고 업그레이드가 필요하다.
| 대상 | 상태 |
|---|---|
| SaaS 고객 | 2월 2일 자동 패치 완료 |
| 온프레미스 RS ≥ 21.3 | 패치 BT26-02-RS 적용 필요 |
| 온프레미스 PRA ≥ 22.1 | 패치 BT26-02-PRA 적용 필요 |
| RS < 21.3 / PRA < 22.1 | 버전 업그레이드 필수 |
지금 당장 해야 할 것:
공격자가 원격 지원 도구를 노리는 이유는 명확하다.
첫째, 설계상 방화벽을 우회한다. 원격 지원 도구는 IT 직원이 어디서든 내부 PC에 접속할 수 있도록 만들어졌다. 이 "편의성"은 공격자에게도 동일하게 적용된다.
둘째, 높은 권한을 갖는다. 원격 데스크톱 제어, 파일 전송, 시스템 진단 — 기술 지원에 필요한 권한은 공격자에게도 충분한 권한이다.
셋째, 신뢰받는 트래픽이다. 보안 모니터링 도구는 원격 지원 도구의 트래픽을 정상으로 분류한다. 공격자가 정상 세션처럼 위장하면 탐지가 극히 어렵다.
Fortinet 방화벽이든 BeyondTrust 원격 지원이든, 보안 인프라 자체가 인터넷에 노출된 공격 표면이라는 점은 같다. 그리고 이 공격 표면에 Pre-auth 취약점이 있으면, 내부 네트워크로 가는 가장 빠른 길이 된다.
BeyondTrust 은 단독 사건이 아니다. 14개월 전 같은 제품의 같은 유형 취약점으로 미국 재무부가 침해됐고, 이번에는 AI가 공격자보다 먼저 찾아 최악의 시나리오를 막았다. 하지만 근본 문제 (같은 코드에서 같은 유형의 버그가 반복되는 것) 는 패치로 해결되지 않는다. 원격 접근 도구를 운영하는 조직이라면, 패치 적용을 넘어 해당 도구의 네트워크 노출 범위 자체를 재검토해야 한다.
14개월 만에 같은 코드에서 같은 유형의 취약점이 발견된 것은 패치가 근본 원인이 아닌 증상만 수정했기 때문이다. 첫 번째 CVE 패치는 특정 입력값에 대한 필터링을 추가했지만, 동일한 기능을 수행하는 다른 코드 경로는 검토하지 않았다. 변종 분석(Variant Analysis)의 부재가 문제의 핵심이다. 하나의 취약점이 발견되면 동일 패턴이 코드베이스 전체에 존재하는지 체계적으로 검사해야 한다.
이 사건에서 사용된 Cloudflare Tunnel(구 Argo Tunnel)은 합법적인 서비스다. 개발자가 NAT 뒤의 로컬 서버를 외부에 노출하기 위해 사용한다. 공격자는 이 합법성을 악용한다. Cloudflare의 IP 대역에서 발생하는 암호화된 HTTPS 트래픽을 차단하면 정상 CDN 사용까지 영향받기 때문에 네트워크 수준 차단이 어렵다.
공격자는 cloudflared tunnel을 한 줄의 명령으로 설치하고 내부 네트워크의 RDP, SSH, 웹 관리 콘솔에 외부 접근 경로를 만든다. 이 터널은 DNS 레코드로 등록되어 일반 HTTPS 트래픽과 완전히 동일하게 보인다.