CISA, 'Arista VeloCloud Orchestrator' SQL 인젝션 취약점 실제 악용 확인… 연방기관에 사흘 내 조치 지시
미국 사이버보안·인프라보안국(CISA)이 2026년 10월 23일 Arista VeloCloud Orchestrator의 보안 취약점 CVE-2026-114625를 '실제 악용이 확인된 취약점(KEV)' 목록에 올렸다. CISA KEV 목록에 따르면 이 취약점은 자체 설치형(온프레미스) VeloCloud Orchestrator에 있는 SQL 인젝션 결함이다. 원격 공격자가 이를 이용하면 내부 특권 기능에 접근하고 오케스트레이터 호스트에도 영향을 줄 수 있다. CISA는 미국 연방기관에 2026년 10월 26일까지 조치를 마치라고 지시했다.
KEV 목록은 이론상 위험한 취약점을 모아 둔 것이 아니다. 실제 공격에 쓰인 사실이 확인된 취약점만 올라간다. 이 목록에 올랐다는 것은 이 결함이 이미 공격에 쓰였다는 뜻이다. CISA가 붙인 공식 명칭은 'Arista VeloCloud Orchestrator SQL Injection Vulnerability'다.
SQL 인젝션은 애플리케이션이 데이터베이스에 보내는 질의문에 공격자가 조작된 입력값을 끼워 넣는 공격 기법이다. 외부 입력을 제대로 검증하지 않는 프로그램에서 생긴다. 이를 이용하면 원래 권한으로는 볼 수 없는 데이터를 읽거나 고칠 수 있고, 시스템 내부 기능을 호출할 수도 있다. CISA는 이번 취약점이 원격에서 악용될 수 있고 '특권 내부 기능'에 대한 접근으로 이어질 수 있다고 설명했다. 단순한 정보 노출을 넘어 관리 권한 수준의 기능까지 위협받을 수 있다는 의미다.
피해 범위에 대해 CISA는 공격이 성공하면 오케스트레이터 자체는 물론 오케스트레이터가 관리하는 데이터의 기밀성·무결성·가용성이 모두 침해될 수 있다고 밝혔다. 보안에서 지키려는 세 가지 핵심 요소가 모두 위험해진다는 뜻이다. 데이터가 새어 나가거나, 바뀌거나, 서비스가 멈출 수 있다. 오케스트레이터는 여러 시스템을 한곳에서 통제하는 관리 도구여서, 한 번 뚫리면 그 아래에서 관리되는 자원 전반으로 영향이 번질 수 있다.
CISA가 요구한 조치는 공급사 지침에 따라 완화 조치를 적용하라는 것이다. 이때 CISA의 구속력 있는 운영 지침인 'BOD 26-04: 위험 기반 보안 업데이트 우선순위 지정'과 '포렌식 분류(Forensics Triage) 요구사항'을 함께 지켜야 한다. 패치만 하고 끝내지 말고 이미 침해된 흔적이 있는지도 살피라는 요구로 읽힌다. 클라우드 서비스 형태로 쓰는 경우에는 BOD 26-04의 클라우드 관련 지침을 따라야 한다. 완화 조치를 적용할 수 없으면 제품 사용을 중단하라고 했다. 각 기관은 자산별로 인터넷에 얼마나 노출돼 있는지 직접 평가하고 BOD 26-04의 패치 지침을 지킬 책임이 있다.
이행 기한도 눈여겨볼 만하다. 목록 등재일인 10월 23일부터 기한인 10월 26일까지는 사흘에 불과하다. CISA가 이 취약점을 그만큼 시급하게 보고 있다는 뜻이다. 연방기관 기준 기한은 이미 지났다. 아직 조치하지 않은 조직이라면 서둘러야 한다.
CISA의 지시는 미국 연방기관에만 법적 효력이 있다. 하지만 KEV 목록은 실제 공격 정황을 근거로 만들어지기 때문에 민간과 해외에서도 패치 우선순위를 정하는 기준으로 널리 쓰인다. 같은 제품을 쓰는 국내 기관·기업도 공급사인 Arista의 보안 공지를 확인하고 최신 버전으로 업데이트하는 것이 좋다. 특히 자체 설치형 오케스트레이터를 운영하는 곳은 관리 화면이 외부 인터넷에 노출돼 있는지부터 점검할 필요가 있다.
