본문으로 건너뛰기
J
피드

토요일 새벽, 제로데이 때문에 경찰이 집에 찾아옴

security 약 3분
tags
#zero-day#vulnerability#germany#incident-response
vote
0
댓글
북마크
원문 보기

PTC Windchill/FlexPLM의 CVSS 10.0 역직렬화 취약점(CVE-2026-4681) 때문에 독일 연방범죄수사청이 전국 1,000개 이상 기업에 새벽에 경찰을 보내 핫픽스 안내문을 전달하는 전례 없는 사태가 벌어짐. PTC는 '확인된 공격 없음'이라고 하면서 구체적 침해지표를 동시에 공개하는 모순적 태도를 보임.

  • 1

    CVE-2026-4681: PTC Windchill/FlexPLM 역직렬화 취약점, CVSS 10.0 만점

  • 2

    독일 BKA가 LKA를 통해 전국 1,000개 이상 기업에 새벽 시간대 경찰을 직접 파견 — 독일 역사상 전례 없는 조치

  • 3

    일부 관리자는 해당 제품을 쓰지도 않는데 새벽에 경찰 방문을 받음

  • 4

    BSI(독일 CISA)는 월요일 낮에야 공지, 미국 CISA는 침묵 중, 월요일 오후까지 패치 미발표

  • 5

    PTC가 '공격 증거 없음'이라면서 구체적 IoC(GW.class 파일)를 동시에 공개하는 모순 상태

무슨 일이 있었나

  • PTC Windchill과 FlexPLM에서 역직렬화(deserialization) 취약점이 발견됨. CVE-2026-4681, CVSS 10.0 만점
  • 독일 연방범죄수사청(BKA)이 각 주 범죄수사청(LKA)에 지시해서 전국 1,000개 이상 기업에 경찰을 직접 보냄
  • 토요일 밤~일요일 새벽에 경찰이 회사와 개인 자택을 방문해서 핫픽스 안내문을 전달한 것. 독일에서도 전례 없는 조치였음

현장 반응

  • 한 관리자는 새벽 3시 30분에 경찰이 찾아왔는데, 해당 서버가 내부망에서만 접근 가능하고 WAN 통신도 안 되는 상태라 왜 이렇게까지 하는지 의아해함
  • 다른 관리자는 새벽 2시 45분에 전화가 오고 곧이어 초인종이 울렸는데, 자기 회사는 해당 취약 제품을 쓰지도 않음
  • PTC가 이미 전날 고객들에게 이메일을 보낸 상태였음

기관별 대응이 어긋남

  • BKA는 경찰을 새벽에 보내는 초강수를 뒀지만, 정작 독일 정보보안청(BSI, 미국 CISA에 해당)은 월요일 낮에야 공지를 게시함
  • 미국 CISA는 아예 침묵 중. Known Exploited Vulnerabilities 목록의 최신 항목이 3월 20일 Apple 제품임
  • 월요일 오후 기준 PTC에서 아직 패치도 안 나옴

슈뢰딩거의 IoC

  • PTC 공식 입장: "고객에게 영향을 미친 확인된 공격 증거가 없음"
  • 그런데 같은 문서 바로 아래에 구체적인 침해지표(IoC)를 나열함. GW.class 파일이 서버에 있으면 "공격자가 RCE 실행 전에 시스템을 성공적으로 무기화했다"는 의미라고 설명
  • 공격자도 존재하고 악성 코드도 존재하는데 공격은 없었다니 — 완전히 모순되는 상태임

BKA의 물리적 대응 강도와 BSI/CISA의 느린 공식 대응 사이의 괴리가 인상적임. CVSS 10.0에 역직렬화 취약점이면 RCE가 바로 가능한 수준인데, PTC의 '공격 증거 없음' 주장과 구체적 IoC 공개가 모순됨. 인시던트 대응에서 기관 간 커뮤니케이션 실패의 교과서적 사례가 될 수 있음.

prev

이전 기사 (P)

댓글

댓글

댓글을 불러오는 중...

관련 기사

security

윈도우 11 BitLocker 우회 취약점 ‘YellowKey’ 공개, WinRE 경로가 문제로 지목됨

YellowKey라는 BitLocker 우회 취약점 공개 글이 올라왔고, 작성자는 Windows Recovery Environment에만 있는 특정 구성요소가 보호된 볼륨 접근을 허용한다고 주장한다. 공개 내용은 Windows 11과 Windows Server 2022/2025가 영향권이고 Windows 10은 제외된다고 설명하며, Microsoft 보안 조직과의 공개 조율도 언급한다.

security

해고 직후 정부 DB 96개 삭제 혐의, 내부자 접근권 회수의 무서운 사례

미국 정부 고객을 상대하던 IT 업체에서 해고된 쌍둥이 형제가 몇 분 뒤 정부 정보가 담긴 데이터베이스 96개를 삭제한 혐의를 받고 있다. 기사에는 이들이 이전에도 컴퓨터 범죄 전력이 있었고, 회사 네트워크에서 5,400개 계정 정보를 모아 Python 스크립트로 외부 서비스 로그인을 시도했다는 정황도 나온다.

security

EFF, 국경 전자기기 수색에도 영장이 필요하다고 제4순회항소법원에 주장

EFF와 ACLU 등은 미국 제4순회항소법원에 국경에서 휴대폰·노트북 같은 전자기기를 수색하려면 영장이 필요하다는 의견서를 냄. 사건은 Dulles 공항에서 미국 시민의 휴대폰이 영장 없이 수색된 뒤 형사 사건으로 이어진 사례이며, EFF는 수동 수색과 포렌식 수색 모두 같은 높은 기준을 적용해야 한다고 주장함.

security

안드로이드 17, 내 폰 OS가 진짜인지 직접 보여준다

구글이 안드로이드 17에 OS 검증 기능을 넣는다. 사용자는 기기가 공식 안드로이드 빌드를 돌리고 있는지, 부트로더 상태와 빌드 정보까지 확인할 수 있고, 구글 앱과 API의 정식 배포 여부를 검증하는 공개 원장도 제공된다.

security

마이크로소프트 취약점 공개전이 또 터짐, 이번엔 2건

익명의 공개자가 마이크로소프트 관련 취약점 2건을 추가로 공개했다고 주장했어. 구체적인 기술 분석은 본문에 거의 없지만, 패치 튜즈데이를 앞두고 더 큰 공개를 예고해 윈도우 보안 운영팀 입장에선 신경 써야 할 신호야.