포티넷 취약점, 관리자 비밀번호가 먼저 털렸다?
포티넷 취약점, 관리자 비밀번호가 먼저 털렸다? 요약 영상 (한국어 보이스오버·자막)
포티넷 FortiOS·FortiProxy·FortiPAM·FortiSwitchManager 명령줄 경로 조작 취약점 CVE 2025 61624가 실제 공격에 쓰여 미국 CISA 실제 악용 목록에 올랐습니다. 영향 버전, 실제 악용 출처, 업데이트와 관리자 계정 점검 순서를 소상공인·중소기업 눈높이로...
핵심 답변
CVE-2025-61624는 포티넷 FortiOS, FortiProxy, FortiPAM, FortiSwitchManager의 명령줄(CLI)에서 파일 경로를 제대로 막지 못해, 관리자 권한을 가진 계정이 장비 안의 파일을 만들거나 지울 수 있게 되는 경로 조작 취약점입니다. 포티넷은 2026-04-14 보안 공지 FG-IR-26-122로 이 문제를 알렸고, 미국 CISA는 2026-10-16 이 취약점을 실제 악용 목록(KEV)에 올렸습니다. 포티게이트 방화벽이나 포티넷 프록시 장비를 쓰는 회사라면 지금 쓰는 버전이 영향 범위에 있는지 확인하고 제조사 업데이트를 적용하는 것이 첫 순서입니다. 이 취약점은 관리자 계정이 있어야 쓰이는 문제라, 업데이트와 함께 관리자 계정과 비밀번호, 관리 화면 접근 범위를 같이 점검하는 것이 좋습니다.
엔터티와 적용 범위
이 글이 다루는 대상은 포티넷 FortiOS(포티게이트 방화벽 운영체제), FortiProxy, FortiPAM, FortiSwitchManager이며 근거는 포티넷 보안 공지 FG-IR-26-122, 미국 NVD, 미국 CISA 실제 악용 목록, 팔로알토네트웍스 Unit 42 분석, 홍콩 HKCERT 공지입니다. 사무실 인터넷 앞단에 포티게이트를 두거나 재택·외근 직원이 회사 VPN으로 접속하는 회사, 매장 여러 곳을 하나의 관리 서버로 묶어 둔 회사가 주로 해당됩니다. 포티넷 장비를 쓰지 않는 회사는 이 취약점의 직접 대상이 아니지만, 다른 방화벽에도 같은 원칙(업데이트·관리자 계정 관리·관리 화면 외부 차단)이 적용됩니다. 이 글은 공격 방법이 아니라 확인과 조치 순서만 다룹니다.
방화벽 업데이트 공지, 이번에도 넘기셨나요
사무실 인터넷이 잘 되고 VPN도 문제없이 붙으면, 방화벽은 처음 설치한 날 이후로 아무도 들여다보지 않는 장비가 되기 쉽습니다. 설치해 준 업체 연락처는 어딘가에 있지만 관리자 비밀번호가 무엇인지, 지금 몇 버전이 깔려 있는지 아는 사람은 회사 안에 없는 경우가 많습니다. 그러다 거래처나 IT 담당자에게서 포티넷 취약점 이야기를 듣고 나서야 우리 회사 장비가 포티게이트였는지부터 찾아보게 됩니다.
이번에 다루는 CVE-2025-61624는 포티넷 장비의 명령줄(CLI)에서 생기는 경로 조작 취약점입니다. 쉽게 말하면 장비가 정해 둔 폴더 밖의 파일을 건드리지 못하게 막아야 하는데, 특정 명령에서 그 울타리가 제대로 서 있지 않았다는 뜻입니다. 포티넷 공지에 따르면 권한이 있는 공격자가 기존 명령에 특수하게 꾸민 값을 넣어 임의의 파일을 쓰거나 지울 수 있고, 그 결과 권한 상승으로 이어질 수 있습니다.
여기서 중요한 점은 아무나 인터넷에서 바로 쓸 수 있는 문제는 아니라는 것입니다. 테너블과 Rescana 정리에 따르면 읽기·쓰기 권한이 있는 관리자 계정으로 로그인한 상태여야 이 취약점을 쓸 수 있습니다. 그래서 이 취약점만 놓고 보면 제조사 기준 심각도 등급은 중간으로 매겨졌습니다. 다만 실제 공격에서 관리자 계정을 먼저 손에 넣은 뒤 이 취약점으로 더 깊은 권한을 얻는 데 쓰인 것이 확인되면서, 하얀모자시큐리티 오늘의 보안 취약점 페이지에서는 우선 조치가 필요한 높음 항목으로 표시했습니다.
정리하면 이 취약점은 문을 처음 여는 열쇠라기보다, 이미 열린 문 안에서 더 깊은 방까지 들어가게 해 주는 통로에 가깝습니다. 그래서 대응도 두 갈래입니다. 하나는 제조사 업데이트로 통로 자체를 막는 것이고, 다른 하나는 관리자 계정이 남의 손에 넘어가지 않도록 계정과 관리 화면을 단단히 하는 것입니다. 아래에서 영향 범위와 실제 악용 출처, 당장 할 일을 차례로 정리했습니다.
우리 회사 장비가 해당되는지 확인하는 법
포티넷 보안 공지 FG-IR-26-122에 적힌 영향 제품은 FortiOS, FortiProxy, FortiPAM, FortiSwitchManager 네 가지입니다. 소상공인과 중소기업에서 가장 흔한 것은 사무실 인터넷 앞에 두는 포티게이트 방화벽으로, 이 장비의 운영체제가 FortiOS입니다. 회사 VPN 접속을 포티클라이언트로 하고 있다면 그 뒤에 포티게이트가 있을 가능성이 높으니 관리 업체나 IT 담당자에게 장비 모델과 FortiOS 버전을 먼저 물어보세요.
FortiOS는 버전대마다 기준이 다릅니다. 포티넷 공지에 따르면 7.6 버전대는 7.6.0부터 7.6.4까지가 영향 범위이고 7.6.5 이상으로 올리면 됩니다. 7.4 버전대는 7.4.0부터 7.4.9까지가 해당되며 7.4.10 이상이 수정 버전입니다. 7.2, 7.0, 6.4 버전대는 모든 버전이 영향 범위로 표시돼 있어, 같은 버전대 안에서 올리는 것이 아니라 수정된 버전대로 옮기는 마이그레이션이 필요합니다. 오래전에 설치하고 손대지 않은 장비일수록 이 경우에 해당할 수 있습니다.
FortiProxy는 7.6.0부터 7.6.4까지는 7.6.5 이상으로, 7.4.0부터 7.4.11까지는 7.4.12 이상으로 올려야 하며 7.2와 7.0 버전대는 수정 버전대로 옮겨야 합니다. FortiSwitchManager는 7.2.0부터 7.2.7까지는 7.2.8 이상, 7.0.0부터 7.0.6까지는 7.0.7 이상이 기준입니다. FortiPAM은 1.7.0이 영향 범위여서 1.7.1 이상으로 올리면 되고, 1.6부터 1.0까지는 수정 버전대로 옮겨야 하며, 1.8은 영향을 받지 않는다고 공지에 적혀 있습니다.
버전 확인은 관리 화면 첫 대시보드의 시스템 정보 칸에서 대개 바로 보입니다. 직접 들어가기 어렵다면 장비를 설치하거나 유지보수하는 업체에 모델명, 현재 버전, 마지막 업데이트 날짜 세 가지를 문서로 받아 두는 것만으로도 다음 공지 때 훨씬 빨리 판단할 수 있습니다. 포티넷은 버전을 어떤 순서로 올려야 하는지 알려 주는 공식 업그레이드 경로 도구도 함께 안내하고 있으니, 버전대를 옮겨야 하는 경우에는 그 경로를 따라 단계별로 올리는 것이 안전합니다.
실제 공격에 쓰였다는 근거는 어디에 있나
취약점 공지는 매달 쏟아지기 때문에, 그중 무엇을 먼저 처리할지 고르는 기준이 필요합니다. 가장 많이 쓰이는 기준이 미국 사이버보안·기반시설보안청 CISA의 실제 악용 목록(KEV)입니다. 이 목록은 실제 공격에 쓰인 증거가 확인된 취약점만 올리는 곳이어서, 여기에 등재됐다는 것은 이론상 위험이 아니라 현실에서 이미 쓰였다는 뜻입니다. CISA는 2026-10-16 CVE-2025-61624를 이 목록에 올렸고, 미국 연방 기관에는 2026-10-19까지 조치하라는 기한을 두었습니다.
같은 시기 다른 기관도 실제 악용을 알렸습니다. 홍콩 사이버보안 대응 기관 HKCERT는 2026-10-20 공지에서 이 취약점이 실제 공격에 쓰이고 있다고 밝히고 제조사 수정판 적용을 권고했습니다. 포티넷 공지 FG-IR-26-122에도 알려진 악용 여부 칸이 예로 표시돼 있습니다. 제조사와 미국, 홍콩 기관이 같은 방향을 가리키고 있는 만큼, 포티넷 장비를 쓰는 회사라면 우선순위를 높여 처리할 근거가 충분합니다.
구체적인 공격 흐름은 팔로알토네트웍스 위협 분석팀 Unit 42가 2026-10-14 공개한 보고서에 정리돼 있습니다. 보고서에 따르면 공격은 한 통신 관리 서비스 회사의 중앙 관리 서버(FortiManager)가 먼저 침해되면서 시작됐고, 공격자는 그곳에서 빼낸 방화벽 설정을 이용해 관리자 권한을 얻었습니다. Unit 42는 빼낸 설정 안에 인증 정보가 되돌릴 수 있는 형태로 저장돼 있었다고 설명했고, 이후 일부 방화벽에서 CVE-2025-61624로 관리자 권한을 운영체제 최고 권한까지 높였다고 밝혔습니다.
이 흐름이 소상공인에게 주는 교훈은 분명합니다. 방화벽 한 대의 버전만이 아니라, 여러 장비를 묶어 관리하는 서버와 그 안에 쌓인 설정·비밀번호까지 한 덩어리로 지켜야 한다는 것입니다. 매장이나 지점 여러 곳의 장비를 외부 업체가 원격으로 한꺼번에 관리하는 구조라면, 관리 서버가 언제 마지막으로 업데이트됐는지도 함께 물어보는 것이 좋습니다. 피해 규모나 대상 회사 이름은 공식 자료에서 확인되지 않은 부분이 있어 이 글에서는 다루지 않습니다.
오늘 바로 할 일 체크리스트
가장 먼저 할 일은 제조사 업데이트입니다. 앞에서 정리한 버전 기준에 따라 FortiOS 7.6 버전대는 7.6.5 이상, 7.4 버전대는 7.4.10 이상으로 올리고, 7.2·7.0·6.4처럼 모든 버전이 영향 범위인 버전대는 수정된 버전대로 옮기는 계획을 세우세요. 방화벽 업데이트는 재부팅이 필요해 잠깐 인터넷이 끊길 수 있으니, 영업이 끝난 뒤나 주말처럼 사용이 적은 시간을 정해 미리 공지해 두면 혼란이 줄어듭니다. 업데이트 전에는 현재 설정을 백업해 두는 것도 잊지 마세요.
업데이트를 바로 하기 어려운 사정이 있다면 임시 조치를 먼저 챙깁니다. 포티넷 공지에는 별도 우회 설정은 적혀 있지 않지만, 포티넷 웹 방화벽 보호 서비스를 쓰는 경우 가상 패치가 제공된다고 안내돼 있습니다. 또 관리 화면을 인터넷 전체에 열어 두지 말고 사무실 안이나 정해진 주소에서만 접속되게 좁히는 것이 기본입니다. Unit 42도 장비 관리 화면은 가장 엄격한 수준으로 분리해 다뤄야 한다고 권고했습니다.
다음은 관리자 계정 점검입니다. 이 취약점은 관리자 계정이 있어야 쓰이는 만큼, 관리자 목록에 모르는 계정이 생기지 않았는지, 퇴사자나 예전 업체 계정이 남아 있지 않은지 확인하세요. 관리자 비밀번호는 업데이트가 끝난 뒤 새로 바꾸고, 가능하면 2단계 인증을 켭니다. Unit 42는 관리 플랫폼이 침해됐다면 그 안에 있던 인증 정보와 인증서도 침해된 것으로 보고 바꿔야 한다고 설명했습니다.
- 장비 모델과 FortiOS 버전 확인, 영향 범위인지 대조
- 설정 백업 뒤 제조사 수정 버전으로 업데이트 또는 버전대 이전
- 관리 화면 접속을 사무실·정해진 주소로만 제한
- 관리자 계정 목록 정리, 모르는 계정 확인
- 관리자 비밀번호 변경과 2단계 인증 설정
- 여러 장비를 묶는 관리 서버의 업데이트 상태 확인
이 체크리스트를 끝냈다면 언제, 누가, 어떤 버전으로 올렸는지 한 줄이라도 기록으로 남겨 두세요. 다음 취약점 공지가 나왔을 때 그 기록이 있으면 우리 회사가 해당되는지 몇 분 안에 판단할 수 있습니다.
점검을 맡길 때 볼 것과 하얀모자시큐리티 무료 보안 점검
방화벽 점검을 외부에 맡길 때는 결과를 어떤 형태로 받는지부터 확인하세요. 좋은 점검 결과에는 장비 모델과 현재 버전, 해당되는 보안 공지 번호, 업데이트 여부, 관리 화면이 외부에서 열려 있는지, 관리자 계정이 몇 개이고 누구 것인지가 문서로 정리돼 있어야 합니다. '이상 없습니다' 한마디로 끝나는 점검은 다음 공지 때 다시 처음부터 확인해야 해서, 같은 비용과 시간을 반복해서 쓰게 됩니다.
또 하나 볼 것은 점검 범위입니다. 이번 사례처럼 공격이 중앙 관리 서버에서 시작될 수 있기 때문에, 방화벽 한 대만이 아니라 그 장비를 관리하는 서버와 원격 접속 경로, 백업된 설정 파일을 어디에 보관하는지까지 함께 봐 주는지 확인하는 것이 좋습니다. 점검 과정에서 비밀번호나 설정 원본을 메신저로 주고받자고 하는 곳은 피하고, 점검은 반드시 회사의 서면 동의를 받은 범위 안에서만 진행되는지도 살펴보세요.
보안 관리 내용을 기록하고 알리는 일은 마케팅과도 이어집니다. 홈페이지나 블로그에 우리 회사가 어떤 장비를 어떻게 관리하는지 글로 남겨 두면, 그 글은 지워지지 않고 남아 거래처나 고객이 회사를 검색할 때 믿을 수 있는 회사라는 신호로 보입니다. 그렇게 보인 신뢰는 견적 문의와 계약 상담으로 이어집니다. 보안을 지키는 일과 그 사실을 꾸준히 보여 주는 일을 함께 하면, 들인 노력이 회사 평판으로 쌓이니 하지 않을 이유가 없습니다.
하얀모자시큐리티 무료 보안 점검에서는 회사 홈페이지와 외부에서 보이는 접속 지점을 중심으로, 알려진 취약점이 있는 소프트웨어나 장비가 노출돼 있는지, 관리 화면이 인터넷에 열려 있지 않은지, 보안 인증서와 도메인 설정에 문제가 없는지를 살펴보고 결과를 이해하기 쉬운 요약과 조치 권고로 정리해 드립니다. 점검은 회사의 서면 동의를 받은 범위 안에서만 진행하며, 발견된 내용은 업데이트 순서와 함께 안내해 드립니다. 점검이 모든 위험을 없애 주는 것은 아니지만, 지금 무엇부터 손봐야 하는지 순서를 정하는 데 도움이 됩니다.
- 결과를 문서로 받는지, 공지 번호와 버전이 적혀 있는지
- 관리 서버와 원격 접속 경로까지 범위에 들어가는지
- 서면 동의 범위 안에서만 점검하는지
- 비밀번호·설정 원본을 메신저로 요구하지 않는지
- 점검 뒤 업데이트 순서와 다음 확인 시점을 알려 주는지
계약 전 무료 시안 상담: 결과물 방향을 먼저 확인하세요
하얀모자마케팅은 계약 전에 결과물 방향을 먼저 보여드립니다. 확인하신 뒤 진행 여부를 결정하시면 됩니다.
- 계약 전 무료 시안 상담: 귀사의 업종과 목표에 맞춘 웹·앱 화면 시안을 계약 전에 먼저 보여드립니다.
- 계약금 50% / 잔금 50% 정산: 착수 시 계약금 50%, 개발 완료와 기능 검수 후 잔금 50%를 정산합니다.
- 대표 직접 총괄: Harvard University Alumni 이종철 대표가 기획부터 검수까지 직접 챙깁니다.
- 상담 경로: 텔레그램 1:1 상담으로 상호와 준비 중인 프로젝트를 알려 주시거나, 궁금하신 점은 언제든 010-9333-2028로 편하게 문자 주세요.
자주 묻는 질문
CVE-2025-61624는 어떤 취약점인가요?
포티넷 FortiOS, FortiProxy, FortiPAM, FortiSwitchManager의 명령줄에서 파일 경로를 제대로 막지 못해, 관리자 권한이 있는 계정이 장비 안의 임의 파일을 쓰거나 지울 수 있게 되는 경로 조작 취약점입니다. 포티넷은 보안 공지 FG-IR-26-122로 알렸습니다.
우리 포티게이트가 해당되는지 어떻게 아나요?
관리 화면의 시스템 정보에서 FortiOS 버전을 확인하세요. 포티넷 공지 기준으로 7.6.0~7.6.4, 7.4.0~7.4.9가 영향 범위이고 7.2·7.0·6.4 버전대는 모든 버전이 해당됩니다. 직접 확인이 어렵다면 설치·유지보수 업체에 모델과 버전을 문서로 받아 보세요.
실제로 공격에 쓰였나요?
미국 CISA가 2026-10-16 실제 악용 목록에 올렸고, 홍콩 HKCERT도 실제 공격에 쓰이고 있다고 공지했습니다. 팔로알토네트웍스 Unit 42는 중앙 관리 서버 침해 뒤 일부 방화벽에서 이 취약점으로 권한을 높인 사례를 보고했습니다.
업데이트만 하면 충분한가요?
업데이트가 첫 순서지만 이 취약점은 관리자 계정이 있어야 쓰이는 문제라 계정 관리도 함께 필요합니다. 관리 화면 접속 범위를 좁히고, 모르는 관리자 계정이 없는지 확인한 뒤 비밀번호를 바꾸고 2단계 인증을 켜는 것을 권합니다.
출처와 검증 기준
이 글의 타사 사례와 수치는 아래 공개 기사와 공식 발표에 실린 내용만 인용했습니다. 기업이 직접 밝힌 수치는 독립 감사를 거친 값이 아닙니다. 각 사례의 성과는 해당 기업의 결과이며 하얀모자마케팅이 수행한 프로젝트가 아닙니다. 본문 이미지는 이해를 돕기 위한 개념 일러스트로, 실제 브랜드 디자인이나 성과 지표가 아닙니다.
사례 출처:
Fortinet PSIRT — Path Traversal in CLI (FG-IR-26-122) (2026-04-14)
Palo Alto Networks Unit 42 — Unit 42 Uncovers PEERSTITCH, a Stealthy FortiGate Implant (2026-10-14)
HKCERT — Fortinet Products Elevation of Privilege Vulnerability (2026-10-20)
검색 최적화 기준:
관련 서비스와 상담 경로:
고객이 도착할 웹·앱을 계약 전 무료 시안으로 먼저 확인하세요
계약 전 무료 시안 상담 · 계약금 50%/잔금 50% 정산 · 텔레그램 1:1 또는 문자 010-9333-2028
주식회사 하얀모자마케팅 | 대표이사: 이종철 (Harvard University Alumni) | 공식 웹사이트: https://whmarketing.org
마케팅 상담
SEO, AEO, 플랫폼, 전환 개선 기회를 하얀모자마케팅과 함께 점검하세요.
하얀모자마케팅에 문의하기