IBM i 원격 코드 실행 취약점 CVE-2026-16860, CVSS 9.9 긴급 등급

핵심 요약

- IBM i 7.6, 7.5, 7.4, 7.3 버전에서 통제되지 않은 검색 경로 요소(Uncontrolled Search Path Element)로 인한 원격 코드 실행 취약점 발견 - CVSS 3.x 기준 9.9점(CRITICAL)의 치명적 취약점으로, 원격 인증 공격자가 임의 코드 실행 가능 - IBM 공식 보안 권고를 통해 패치 배포 중이며, 금융·공공기관 등 IBM i 사용 조직의 즉각적인 대응 필요

주요 내용

2026년 8월, IBM의 주력 엔터프라이즈 운영체제인 IBM i에서 치명적인 보안 취약점이 공개되었다. CVE-2026-16860으로 식별된 이 취약점은 CWE-427(Uncontrolled Search Path Element) 유형으로, 시스템이 실행 파일이나 라이브러리를 검색하는 경로를 적절히 통제하지 못해 발생한다.

이 취약점의 가장 심각한 점은 원격에서 인증된 공격자가 악의적인 코드를 시스템에 주입하여 임의의 명령을 실행할 수 있다는 것이다. IBM i는 AS/400의 후속 시스템으로 주로 금융기관, 제조업, 유통업 등에서 핵심 업무 시스템으로 활용되고 있어, 공격 성공 시 기업의 중요 데이터 유출, 업무 중단, 시스템 장악 등 심각한 피해가 예상된다.

CVSS 9.9점이라는 매우 높은 점수는 공격 복잡도가 낮고, 권한 상승 및 기밀성·무결성·가용성 모두에 높은 영향을 미친다는 것을 의미한다. 특히 원격 공격이 가능하고 사용자 상호작용이 필요 없다는 점에서 자동화된 공격에 취약할 수 있다.

IBM은 공식 지원 페이지(https://www.ibm.com/support/pages/node/7283282)를 통해 상세한 보안 권고와 패치를 제공하고 있으며, 영향받는 모든 버전 사용자에게 즉각적인 조치를 권고하고 있다.

전문가 시각

ISMS-P 심사 관점에서 본 취약점은 '2.7.2 보안 취약점 점검 및 조치' 통제항목과 직접 연관된다. 특히 IBM i와 같은 레거시 시스템을 운영하는 조직은 정기적인 취약점 스캐닝과 패치 관리 체계가 미흡한 경우가 많아, 이번 취약점이 장기간 방치될 위험이 크다. 실무적으로는 패치 적용 전 반드시 개발/검증 환경에서 테스트를 수행하고, 패치 적용이 불가능한 경우 네트워크 접근 통제, 인증 강화, 로그 모니터링 강화 등의 보완 통제를 즉시 적용해야 한다.

경로 탐색 취약점의 특성상, 공격자가 시스템의 PATH 환경변수나 라이브러리 검색 순서를 악용할 수 있으므로, 시스템 관리자는 DLL Hijacking, PATH 변조 등의 공격 시나리오를 이해하고 로그 분석 시 비정상적인 라이브러리 로딩 시도를 주의 깊게 관찰해야 한다. 또한 최소 권한 원칙을 적용하여 일반 사용자 계정의 권한을 최소화함으로써 공격 영향 범위를 제한하는 것이 중요하다.

영향받는 시스템 및 조치사항

영향받는 버전:
- IBM i 7.6
- IBM i 7.5
- IBM i 7.4
- IBM i 7.3

CVSS 3.x 점수 해석:
- 기본 점수: 9.9 (CRITICAL)
- 공격 벡터: 네트워크(Network)
- 공격 복잡도: 낮음(Low)
- 필요 권한: 낮음(Low) - 인증 필요
- 사용자 상호작용: 불필요(None)
- 영향 범위: 기밀성(High), 무결성(High), 가용성(High)

조치사항:
1. IBM 공식 보안 권고(https://www.ibm.com/support/pages/node/7283282) 확인 및 제공되는 PTF(Program Temporary Fix) 즉시 적용
2. 패치 적용 전까지 원격 접근 제어 강화 (IP 화이트리스트, VPN 강제 등)
3. 관련 계정의 비정상 활동 모니터링 강화
4. 시스템 PATH 환경변수 및 라이브러리 검색 경로 점검
5. 인증 로그 및 시스템 실행 로그 집중 분석

CPPG·ISMS-P 연계 포인트

1. 보안 취약점 점검 및 조치 (ISMS-P 2.7.2)
조직은 정보시스템에 대한 보안 취약점을 주기적으로 점검하고 발견된 취약점을 조치해야 한다. CVE-2026-16860과 같은 치명적 취약점은 발견 즉시 긴급 패치 프로세스를 가동해야 하며, 패치 적용 현황을 문서화하고 관리해야 한다. 심사 시 CVE 데이터베이스 모니터링 체계, 취약점 우선순위 평가 기준(CVSS 활용), 패치 테스트 및 적용 절차가 평가 대상이 된다.

2. 경로 탐색 취약점과 안전한 코딩 (CWE-427)
통제되지 않은 검색 경로 요소(CWE-427)는 OWASP Top 10의 '안전하지 않은 설계' 범주와 연관된다. 개발 단계에서 하드코딩된 절대 경로 사용, PATH 환경변수 검증, 라이브러리 로드 순서 명시 등 안전한 코딩 기법 적용이 필수적이다. ISMS-P의 '2.5.3 보안 요구사항 구현' 통제항목에서 시큐어 코딩 기준 준수 여부를 확인하며, 외부 라이브러리 및 실행 파일 검색 시 안전한 경로 설정이 핵심 통제 요소다.