사무실 밖에서 사내망에 붙는 Check Point VPN이 있으면, 이번 주 패치 여부를 먼저 보는 편이 낫습니다. Check Point는 2026년 9월 9일 원격 접속 VPN과 사이트 간 VPN에서 인증 없이 원격 코드 실행이 가능한 Check Point VPN 취약점 두 건을 공개했습니다. 네덜란드 NCSC는 9월 10일 악용 가능성과 피해를 모두 높음으로 보고, 곧 공격 시도가 있을 것으로 봤습니다.
지금 시점에서 중요한 구분은 이렇습니다. 취약점 자체와 패치 존재는 제조사 공식 문서와 CVE로 확인됩니다. 다만 Check Point는 두 건을 내부에서 발견했다고 했고, 작성 시점 기준으로 실제 악용 증거가 공개된 상태는 아닙니다. NCSC의 경고는 “이미 뚫렸다”가 아니라 “곧 시도될 가능성이 높다”는 평가입니다.
한눈에 결론
- CVE-2026-85102와 CVE-2026-85103 모두 CVSS 9.8입니다. 로그인 없이 인터넷에서 게이트웨이로 코드를 실행할 수 있는 등급입니다.
- 영향 범위는 Quantum Security Gateway, Security Management Server, Spark Firewall입니다. R82.20은 해당하지 않습니다.
- 지원 중인 R81.20, R82, R82.10은 LivePatch Take 24 또는 Jumbo 핫픽스로 막습니다. LivePatch가 켜져 있으면 재부팅 없이 보호가 들어갈 수 있습니다.
- 지원 종료(R80~R81.10 일부) 장비는 핫픽스 경로가 제한됩니다. 노출된 VPN을 당장 줄이거나 교체를 검토해야 합니다.
- 패치만 넣고 끝내지 말고, 인터넷에 열린 UDP 500/4500과 최근 VPN 협상 로그를 같이 확인하세요.
팩트체크
현재 판정: 취약점과 패치는 사실. 실제 악용은 공식 미확인. NCSC의 ‘임박한 악용’은 기관 평가입니다.
원출처: Check Point SK sk1000117(CVE-2026-85102), SK sk1000118(CVE-2026-85103), CVE-2026-85102, CVE-2026-85103, 네덜란드 NCSC 경보, 캐나다 사이버센터 AV26-902.
확인된 부분: 두 CVE 모두 CVSS 9.8, 인증 없는 원격 코드 실행, 영향 제품·버전, LivePatch Take 24와 Jumbo Take 번호, R82.20 비해당.
미확인 부분: 실제 침해 규모, 공개 공격 코드, 국내 피해 사례, 특정 정부·기업 대상 여부. SecurityWeek는 Check Point가 내부 발견이며 작성 당시 악용 증거가 없다고 전했습니다.
무엇이 바뀌었나, 두 CVE의 실제 차이
두 취약점은 같은 날, 같은 인증서 처리 경로에서 나왔습니다. 공격자가 조작한 인증서를 VPN 협상 단계에서 보내면, 장비가 상대를 신뢰하기 전에 잘못된 데이터를 처리합니다.
CVE-2026-85102는 인증서 신뢰 검증이 잘못된 문제입니다. Check Point SK sk1000117은 VPN 협상 중 인증서 데이터 검증이 부적절하면, 인증되지 않은 원격 공격자가 Security Gateway에서 임의 코드를 실행할 수 있다고 적었습니다. CWE는 CWE-295(부적절한 인증서 검증)입니다. 영향 제품은 Security Gateway와 Spark Firewall이며, 사이트 간 VPN 또는 원격 접속 VPN을 쓰는 구성이 해당합니다.
CVE-2026-85103은 VPN 인증서 ASN.1 디코더의 힙 오버플로입니다. SK sk1000118과 CVE 기록은 Security Gateway뿐 아니라 Security Management Server까지 원격 코드 실행이 가능하다고 봅니다. CWE는 CWE-122입니다. 관리 서버가 인터넷에 직접 열려 있지 않아도, 인증서를 처리하는 경로가 노출되면 위험합니다.
둘 다 점수는 CVSS 3.1 기준 9.8입니다. 네트워크에서 오고, 권한이 필요 없으며, 사용자 클릭도 필요 없습니다. 올해 6월 Check Point가 공개한 CVE-2026-50751과는 성격이 다릅니다. 당시 문제는 폐기된 IKEv1에서 비밀번호 없이 VPN 세션을 만드는 인증 우회였고, Check Point Research는 Qilin 계열 악용을 확인했습니다. 이번 두 건은 세션을 훔치는 수준이 아니라 게이트웨이 자체에서 코드를 실행할 수 있다는 점이 더 무겁습니다.
내 장비가 해당되는지 가리는 기준
먼저 제품군을 나눕니다. Quantum 게이트웨이·클러스터, Security Management, 중소기업용 Spark Firewall이 공식 영향 목록입니다. 일반 가정용 공유기는 해당하지 않습니다. 다만 재택 근무용으로 Spark를 사무실에 두고 원격 접속 VPN을 연 경우는 포함됩니다.
버전은 공식 SK와 CVE 제품 상태를 같이 보는 편이 정확합니다.
| 구분 | 내용 |
|---|---|
| 해당 | R81.20, R82, R82.10, R81.10.x, R82.00.x |
| 지원 종료이나 언급됨 | R80, R80.10, R80.20, R80.30, R80.40, R81, R81.10 |
| 해당하지 않음 | R82.20 |
| Jumbo 기준으로 아직 취약 | R82.10 Take 43 이하, R82 Take 125 이하, R81.20 Take 165 이하 |
버전 확인은 게이트웨이 Expert 모드에서 fw ver 또는 cpinfo -y CPupdates로 합니다. 관리 콘솔만 보면 Jumbo Take 번호가 빠져 있을 수 있습니다. Spark는 로컬 관리와 중앙 관리를 나눠 봐야 합니다. 로컬 관리 Spark는 사이트 간 VPN 완화 규칙이 적용되지 않습니다.
인터넷에 VPN이 열려 있는지도 같이 봅니다. IKE는 보통 UDP 500, NAT-T는 UDP 4500입니다. 본사 고정 IP끼리만 붙는 사이트 간 VPN이어도, 인증서 검증이 협상 초입에 있으므로 “우리끼리만 쓴다”만으로 안심하기 어렵습니다. 원격 접속 VPN을 불특정 주소에 열어 둔 구성이 더 급합니다.
패치는 어디에 들어 있나
Check Point는 두 경로를 제시했습니다. 지원 중인 메이저 버전이면 LivePatch가 더 빠릅니다.
LivePatch 자동 설치가 켜져 있으면 9월 9일 이후 보호가 자동으로 들어갈 수 있습니다. 재부팅이 필수는 아닙니다. 수동이면 아래 번들을 Take 24로 올립니다.
| 버전 | LivePatch 번들 |
|---|---|
| R82.10 | BUNDLE_URGENT_SECURITY_UPDATE_R82_10_AUTOUPDATE Take 24 |
| R82 | BUNDLE_URGENT_SECURITY_UPDATE_R82_AUTOUPDATE Take 24 |
| R81.20 | BUNDLE_URGENT_SECURITY_UPDATE_R81_20_AUTOUPDATE Take 24 |
적용 여부는 Expert 모드에서 cplp list로 확인합니다. 스케일러블 플랫폼은 g_all cplp list입니다. 정상 출력이면 cpcert 계열 모듈 옆에 CVE-2026-85102와 CVE-2026-85103이 같이 보입니다. cpinfo -y CPupdates에는 해당 URGENT_SECURITY_UPDATE 번들 Take 24가 잡혀야 합니다.
Jumbo 핫픽스를 쓰는 환경은 R82.10 Take 44 이상, R82 Take 126 이상, R81.20 Take 166 이상, Spark R82.00.10 Build 2325 이상, Spark R81.10.17 Build 4968 이상이 필요합니다.
LivePatch는 모든 구성에서 쓸 수 있는 것은 아닙니다. R82.10, R82, R81.20 외 버전과 일부 구성은 LivePatch 대상이 아닙니다. 그 경우에는 Jumbo 또는 Spark 빌드가 유일한 공식 수정입니다. R82.20은 처음부터 해당하지 않으므로 이 두 CVE만 놓고 긴급 업데이트를 강제할 필요는 없습니다.
지원이 끝난 R80~R81.10을 인터넷에 노출한 채 쓰는 조직은 공식 수정 경로가 사실상 끊긴 상태입니다. 임시로 VPN 수신 범위를 줄이더라도, 인증서 파싱 자체는 남을 수 있습니다. 교체 일정을 따로 잡는 편이 맞습니다.
패치 전에 할 수 있는 완화, 그리고 한계
Check Point가 제시한 완화은 사이트 간 VPN에 한정됩니다. VPN 암시 규칙을 끄고, UDP 500과 UDP 4500을 상대 피어의 특정 IP에만 엽니다. 원격 접속 VPN처럼 출발지가 매번 바뀌는 구성에는 쓰기 어렵습니다. 로컬 관리 Spark에는 이 완화가 적용되지 않으므로, 패치 빌드가 유일한 수단입니다.
완화를 넣었다고 코드 실행 경로가 완전히 사라지는 것은 아닙니다. 피어 IP를 제한하면 불특정 인터넷 스캔은 줄어듭니다. 다만 이미 허용된 상대가 장악됐거나, 출발지 IP를 위조할 수 있는 경로가 있으면 남는 위험이 있습니다. 따라서 완화는 패치를 기다리는 동안의 노출 축소이지, 대체재가 아닙니다.
운영 중에 바로 할 수 있는 확인은 세 가지입니다. 관리 인터페이스와 VPN 수신 주소가 같은 공인 IP인지 보고, 최근 실패한 IKE 협상·이상한 인증서 오류·알 수 없는 피어가 로그에 없는지 보고, LivePatch 자동 설치가 꺼져 있으면 이번 기회에 켜되 변경 창은 남겨 둡니다.
패치 후 확인과, 이미 노출됐을 때 볼 항목
패치 직후 cplp list 또는 Jumbo Take 번호가 목표치 이상인지 먼저 확인합니다. 클러스터면 멤버마다 따로 봅니다. 한쪽만 Take 24이고 다른쪽이 이전이면 장애 전환 시 다시 취약해집니다.
그다음 VPN 서비스가 실제로 떠 있는지만 보지 말고, 외부에서 UDP 500/4500이 예상한 주소에만 응답하는지를 확인합니다. 사내 스캔이 어렵다면 방화벽 정책과 NAT 규칙을 문서와 대조합니다.
침해 여부를 단정할 공개 IoC는 이 두 CVE에 대해 Check Point가 배포한 상태가 아닙니다. 대신 6월 CVE-2026-50751 때와 같은 패턴을 참고할 수는 있습니다. 당시에는 정상으로 보이는 VPN 세션이 생긴 뒤 데이터 유출과 랜섬웨어로 이어진 사례가 있었습니다. 이번 건은 코드 실행이므로, 게이트웨이에서 설명되지 않는 프로세스, 새로운 관리자 계정, 정책 변경, 외부로 나가는 이상한 접속을 우선 봅니다.
일반 직원 PC에서 할 일은 제한적입니다. 클라이언트를 최신으로 유지하는 것은 도움이 되지만, 이번 취약점의 핵심은 클라이언트 앱이 아니라 게이트웨이입니다.
운영자가 자주 빠지는 실수는 세 가지입니다. 관리 콘솔의 메이저 버전만 보고 Jumbo Take를 안 보는 경우, 액티브 장비만 고치고 스탠바이·재해복구 장비를 미루는 경우, LivePatch 출력을 한 노드에서만 확인하는 경우입니다. R82.10이어도 Take 43이면 아직 취약합니다.
로그는 IKE 실패만 보지 말고 인증서 파싱 오류와 알 수 없는 피어를 같이 봅니다. 정상 근무 시간 밖의 대량 협상 시도, 평소 없는 대역에서의 UDP 500/4500 유입, 패치 직전에 생긴 설명되지 않는 관리자 세션이 있으면 패치와 별도로 계정·정책을 점검합니다.
누구에게 급하고, 누구에게는 해당하지 않나
급하게 봐야 하는 쪽은 인터넷에 원격 접속 VPN을 열어 둔 기업, 여러 지점을 사이트 간 VPN으로 묶은 본사, 호스팅·MSP처럼 고객 망 앞에 Check Point를 둔 운영자입니다. Security Management가 보호되지 않은 망에 있는 경우도 CVE-2026-85103 때문에 같이 봐야 합니다.
해당하지 않거나 우선순위가 낮은 쪽은 R82.20만 쓰는 환경, VPN 기능을 끈 채 로컬 방화벽만 쓰는 Spark, Check Point가 없는 일반 가정 공유기입니다. VPN 제품 뉴스만 보고 가정용 공유기를 초기화할 필요는 없습니다.
원격 접속 VPN과 사이트 간 VPN을 같이 쓰는 본사도 많습니다. 이 경우 피어 IP 제한은 지점 터널에만 효과가 있고, 직원 원격 접속 구간은 그대로 열려 있습니다. 직원 출발지를 국내 ISP 대역으로만 줄이는 방식은 우회 VPN과 모바일 망 때문에 구멍이 큽니다. 원격 접속을 유지해야 한다면 패치가 먼저이고, 그다음이 관리 콘솔 분리와 계정 다중 인증입니다.
MSP나 호스팅 업체가 고객 앞에 Check Point를 대신 운영한다면 버전과 조치 일정을 먼저 공유하는 편이 낫습니다. 고객에게 방화벽이 정상이라고만 말하지 말고 Jumbo Take 또는 LivePatch Take 번호를 같이 적습니다.
캐나다 사이버센터도 9월 9일 AV26-902로 같은 두 CVE를 안내했습니다. 국가 기관 경고가 여럿이라는 것은 취약점의 존재와 패치 필요성을 뒷받침합니다. 다만 그 경고들을 이미 대규모 침해가 시작됐다고 읽으면 안 됩니다. 작성일 2026년 9월 13일 기준, 공개된 악용 코드나 대규모 침해 보고는 확인되지 않았습니다.
패치가 안 되거나 확신이 없을 때
LivePatch 목록에 두 CVE가 안 보이면 번들 이름이 다른 긴급 업데이트가 섞여 있는지부터 확인합니다. 이전 여름 핫픽스와 이번 Take 24는 별개입니다. 설치가 실패하면 디스크 공간, 핫픽스 충돌, 클러스터 동기화 상태를 본 뒤 Check Point 공식 SK의 오프라인 TAR로 다시 올립니다. 임의로 받은 패치 파일을 쓰지 않습니다.
Jumbo를 올렸는데 VPN이 안 붙으면 먼저 터널 설정과 인증서 만료를 봅니다. 이번 수정은 인증서 파싱 경로라서, 잘못된 인증서나 만료된 피어 인증서가 패치 후에야 드러나는 경우가 있습니다. 연결 실패만 보고 핫픽스를 되돌리기 전에 피어 양쪽 인증서 유효기간과 중개 CA를 확인하세요.
외부 점검 업체가 인터넷에서 익스플로잇이 된다고 주장하면 요청 범위와 시각을 기록하고, 그 전에 공식 패치가 들어가 있었는지를 먼저 대조합니다. 아직 공개 공격 코드가 없는 상태에서 공격 재현을 요청하는 것은 운영 장애를 만들 수 있습니다.
가정용으로 Check Point 앱만 쓰는 직원은 회사 게이트웨이 패치와 본인 단말 업데이트를 혼동하지 않으면 됩니다. 폰의 Check Point 클라이언트 업데이트는 이번 CVE의 수정이 아닙니다.
지금 할 일
- 게이트웨이·관리 서버·Spark의 버전과 Jumbo Take를 적습니다.
- R81.20/R82/R82.10이면 LivePatch Take 24 또는 해당 Jumbo Take 이상인지 확인합니다.
- 아직이면 변경 창을 기다리지 말고 LivePatch 또는 Jumbo를 적용합니다. 로컬 Spark는 지정 빌드로 올립니다.
- 사이트 간 VPN이면 피어 IP로 UDP 500/4500을 제한합니다. 원격 접속 VPN이면 패치를 우선합니다.
- 클러스터 양쪽과 재해복구 장비까지 같은 수준인지 재확인합니다.
VPN 장비가 정상으로 보이는 동안에도 인증서 파싱은 이미 끝난 상태일 수 있습니다. 접속이 되고 있다는 사실만으로 안전하다고 보지 않는 것이 이번 패치의 핵심입니다.