애초 DoS 결함에서 CVSS 9.8 최고 등급으로 격상
패치 불가능하면 즉시 사용 중단 초강수... 국가 주요 기반 시설 위협

[보안뉴스 김형근 기자] 미국 사이버보안 및 인프라 보안국(CISA)은 세계 네트워크 인프라의 핵심을 차지하는 F5 BIG-IP 시스템에서 발견된 신종 취약점을 알려진 악용 취약점(KEV) 목록에 추가하고, 연방 기관을 대상으로 강력한 긴급 대응 조치를 발동했다.



이번에 발견된 취약점 CVE-2025-53521은 현장에서 광범위하게 악용되고 있는 취약점으로 확인됐다. F5 BIG-IP 액세스정책관리자(APM) 내에서 발생한 이 취약점은 원격코드실행(RCE)을 통한 시스템 장악이라는 심각한 위협을 초래한다.

보안 업계에 따르면 이 결함은 애초 단순 서비스 거부(DoS) 취약점으로 알려졌으나, 최근 분석을 통해 위험도 평가 최고점(CVSS 9.8)에 해당하는 치명적인 RCE 결함으로 격상됐다.

구체적인 공격 수법은 베일에 싸여 있으나, 별도의 인증 없이 조작된 HTTP 요청과 같은 낮은 복잡도만으로 네트워크 침투를 허용하는 이 치명적 결함으로 글로벌 보안 업계에 경계령이 발동됐다.

CISA는 연방민간행정부(FCEB) 기관들에 대해 30일(현지시간)까지 즉각적인 개선 조치를 완료하라고 지시했다. 만약 적절한 패치나 우회책이 없을 경우, 보안망이 뚫린 문제의 시스템 사용을 즉시 중단해야 한다.

F5 BIG-IP는 트래픽 관리와 인증을 담당하는 핵심 장비로, 이 방어선이 뚫리는 순간 네트워크 인프라 전체에 대한 제어권을 통째로 넘겨줄 수 있다. 최근 공격자들은 기업 환경의 관문 역할을 하는 에지 장비를 집중적으로 파고들어, 내부망 진입과 지속적인 권한 확보를 위한 정밀한 발판으로 삼고 있다.

이에 따라 보안 담당자들은 네트워크 분할과 엄격한 접근 제어 등 선제적 조치를 통해 시스템의 노출 범위를 줄여야 할 시점이다. F5 BIG-IP의 RCE 취약점이 실전에서 널리 악용됨에 따라 국가 주요 기반 시설의 네트워크 경계가 직접적인 위협을 받고 있다. 이번 CISA의 긴급 명령은 공격자들이 에지 장비를 집요하게 공략하는 최신 안보 위기에 대응하기 위한 핵심 방어 전략의 일환으로 풀이된다.

[김형근 기자(editor@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>