금융권, 앤트로픽 미토스가 찾은 오픈소스 취약점에 긴급 점검 들어감

• 앤트로픽의 차세대 AI 모델 ‘클로드 미토스 프리뷰’가 오픈소스 취약점 판을 꽤 세게 흔들고 있음

  • 1000개 넘는 오픈소스를 스캔해서 2만3019개의 결함 후보를 찾아냈고, 외부 전문가 검증을 거쳐 1726건이 실제 취약점으로 확정됨
  • 제조사에 공식 전달된 건 1596건인데, 패치가 끝난 건 97건뿐임. 패치율 6.1%, 숫자로 보면 꽤 살벌함

• 금융당국이 바로 움직인 이유는 취약점 목록에 금융권 인프라에서 흔히 보이는 컴포넌트가 들어있기 때문임

  • 금융보안원은 당장 국내 금융 서비스에 큰 영향을 줄 취약점은 없다고 봤지만, 취약 제품 사용 여부와 설정 상태는 바로 확인하라고 권고함
  • 금융감독원도 금융사에 공문을 보내 오픈소스 구성요소 점검과 최신 보안 패치 적용을 요청함

• nginx 쪽에서는 WebDAV 모듈 관련 취약점이 공개됨

  • CVE-2026-27654는 WebDAV 모듈에서 alias 지시문을 쓸 때 짧은 Destination 요청 때문에 인증 없이 원격 파일 쓰기가 가능해질 수 있는 문제임
  • 다만 WebDAV 모듈이 활성화된 경우에만 영향이 있어서, 먼저 해야 할 일은 “우리 nginx에 이 모듈과 설정이 켜져 있나?”를 확인하는 것임

• 다른 주요 취약점도 개발자 입장에서 그냥 넘기기 어려운 종류임

  • wolfSSL에서는 verify_cb가 1을 반환할 때 X509 리프 인증서 서명 검증을 건너뛰는 결함이 발견됨
  • FreeRDP에서는 클립보드 채널 검증 누락으로 원격 코드 실행 취약점이 나왔음
  • Node.js 기반 CMS인 Ghost에서는 인증 없이 데이터베이스의 민감 레코드를 탈취할 수 있는 SQL 인젝션 문제가 언급됨

• 금융보안원이 강조한 방향은 결국 “패치 전에 자산부터 알아야 한다”임

  • 국가 취약점 데이터베이스 기준으로 연간 3만건 넘는 CVE가 쏟아지는 상황에서 모든 이슈에 똑같이 대응하는 건 현실적으로 불가능함
  • 그래서 소프트웨어 자재명세서(SBOM)로 어떤 구성요소를 쓰는지 식별하고, 인터넷 노출 여부와 데이터 민감도까지 같이 봐야 우선순위가 나옴
  • 패치가 아직 없어도 기능 격리, 임시 우회, 외부 노출 차단 같은 운영 조치를 먼저 할 수 있어야 함

• 보안 전문가 코멘트가 꽤 무거움. AI로 소수 오픈소스만 봤는데도 주요 취약점이 대거 나왔다는 건 기존 오픈소스 보안 모델이 흔들릴 수 있다는 얘기임

  • 지금까지는 집단지성과 유지보수자 신고, 보안 연구자 제보에 기대는 구조였음
  • 앞으로는 AI가 미처 알려지지 않은 제로데이 후보를 계속 쏟아낼 수 있고, 운영자는 “발견 속도”보다 “내 자산 영향 판단 속도”에서 승부를 봐야 함

---

기술 맥락

• 이번 이슈에서 제일 중요한 건 취약점 자체보다 발견과 대응 속도의 불균형이에요. AI는 2만개 넘는 후보를 빠르게 만들었는데, 제조사 패치는 97건에 그쳤거든요. 그래서 운영팀은 “패치 나오면 적용”만으로는 리스크를 감당하기 어려워져요.

• SBOM이 강조되는 이유도 여기 있어요. nginx를 쓰는지 아는 것만으로는 부족하고, WebDAV 모듈을 켰는지, alias 설정을 어떻게 썼는지, 그 서버가 인터넷에 열려 있는지까지 알아야 실제 위험도를 계산할 수 있거든요.

• 금융권처럼 규제와 가용성 요구가 큰 환경에서는 무작정 업데이트하기도 쉽지 않아요. 그래서 패치 전 단계에서 기능 비활성화, 접근 제어 강화, 외부 노출 차단 같은 완화 조치가 먼저 나와야 하고, 그 판단의 출발점이 자산 식별이에요.

• 개발팀 입장에서는 오픈소스 선택 기준도 바뀔 수 있어요. 기능과 성능만 볼 게 아니라 취약점 공개 후 패치가 얼마나 빨리 나오는지, 유지보수자가 대응 가능한 구조인지까지 봐야 하거든요.