[공격] 분석 — CVE-2026-65400

• 심각도 critical · CVSS 9.8 · EPSS 0.00496 · 악용난이도 moderate

• 정찰: 네트워크 스캔(Nmap 등)으로 TCP 5900(또는 5901) 포트를 열어 둔 macOS 호스트를 식별합니다.
• 초기 접근: Screen Sharing(RFB/Apple Remote Desktop) 서비스에 직접 연결합니다. CVSS 벡터 AV:N/AC:L/PR:N/UI:N이 의미하듯 네트워크만 있으면 인증 없이 진입 가능함을 전제합니다.
• 취약점 트리거: 인증 단계에서 상태 관리가 부실해 서버가 클라이언트의 인증 토큰을 검증하지 않거나, 이전 세션 정보를 재사용하도록 설계된 오류를 이용합니다. 공격자는 정상 RFB 핸드셰이크 후 AuthenticationResult 메시지를 변조하거나 전혀 보내지 않아도 세션이 승인됩니다.
• 권한 획득: Screen Sharing은 기본적으로 현재 로그인된 사용자의 권한으로 데스크톱을 제어하므로, 인증 우회 시 해당 사용자(보통 현재 콘솔 사용자)와 동일한 권한을 즉시 확보합니다. 별도의 권한 상승 단계가 필요 없습니다.
• 지속: 획득한 세션에서 System Preferences → Sharing을 조작해 영구적인 원격 로그인 계정을 생성하거나, launchd 플러그인을 배치해 재부팅 후에도 접근이 유지되게 할 수 있습니다.
• 영향: 전체 화면 제어, 파일 전송, 키 입력 가로채기 등 원격 데스크톱 수준의 모든 행위가 가능해집니다.

교차검증: 다중 소스에서 일관성이 확인됐으며, 본 보고서는 보수적 채택 심각도 critical을 유지합니다.

악용 가능성: CVSS AV:N·AC:L·PR:N·UI:N는 공격자가 네트워크만 연결되면 별다른 사전 권한이나 사용자의 동작 없이 바로 접근이 가능함을 의미합니다. 실제로 이 취약은 macOS 화면 공유(Service VNC, 포트 5900/5901 등)에서 인증 상태를 잘못 관리해, 초기 핸드쉐이크 단계의 auth‑type 파라미터만 전송하면 인증 없이 세션이 생성됩니다. EPSS 0.00496(≈0.5 %)는 현재까지 보고된 실제 악용 사례가 거의 없지만, 네트워크에 노출된 시스템이라면 이 확률도 무시할 수 없으며, KEV에 등재되지 않은 점은 아직 대규모 공격이 관찰되지 않았음을 뜻합니다. 따라서 난이도는 “low complexity”로 평가되며, 공격자는 단순히 화면 공유 엔드포인트에 TCP 연결을 시도하고 인증 요청을 조작하기만 하면 됩니다. 트리거 조건은 ‘Screen Sharing 서비스가 활성화된 상태에서 외부 IP가 접근 가능한 경우’이며, 노출되는 표면은 VNC 프로토콜의 초기 인증 교환과 macOS 내부의 세션 관리 함수입니다. 이러한 환경이 존재한다면 네트워크 수준에서 별도 권한 상승 없이 바로 원격 로그인(관리자 수준)까지 도달할 수 있어 실전 위험도가 moderate로 판단됩니다.

• 인증 없이 Screen Sharing에 접속함으로써 공격자는 대상 macOS 시스템 전체를 원격 제어할 수 있습니다.
• 민감한 파일 열람·전송, 관리자 권한이 필요한 설정 변경, 악성 코드 배포가 즉시 가능해집니다.

• CWE‑287 (Improper Authentication): 인증 절차 자체가 우회되므로, 이후에 발생할 수 있는 **권한 상승(CWE‑269)**이나 **원격 코드 실행(CWE‑94)**과 연계될 위험이 있습니다.
• 추정: 다른 네트워크 서비스(예: SSH, SMB)에서 동일한 인증 회피가 확인된다면, 획득한 세션을 이용해 크리덴셜 스틸링 후 추가 침투 체인으로 확장할 수 있습니다.

• system.log 또는 appleremote.log에 “Authentication succeeded without credentials”와 유사한 메시지가 기록됩니다.
• 방화벽 로그에서 비정상적인 빈번한 RFB 핸드셰이크 시도(특히 인증 단계 건너뛰기)가 포착될 경우 경보를 발생시킵니다.

• 패치 적용: macOS Sequoia 15.7.9, Sonoma 14.8.9, Tahoe 26.6.1 이상으로 즉시 업데이트합니다.
• 서비스 제한: 사용하지 않을 경우 System Preferences → Sharing에서 Screen Sharing을 비활성화하고, 방화벽 규칙으로 외부 IP의 5900 포트 접근을 차단합니다.
• 모니터링 강화: 위 탐지 항목을 SIEM에 연동해 실시간 알림을 구성하고, 인증 우회 시도 로그를 정기적으로 검토합니다.

실측 악용예측: EPSS 0.00496(백분위 0.40341)으로 현재 실제 공격 가능성은 낮지만, CVSS 9.8·non‑KEV·moderate exploitability에 따라 **우선순위가 이번 주 내(scheduled)**로 결정되었습니다. 즉시 대응이 권고됩니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=9.8 · non-KEV · EPSS=0.00496 · exploit=moderate · in_scope=None