오픈소스 '미토스' 취약점 공개 48시간 만에 12개 기관 연쇄 침해

2026년 8월, 오픈소스 라이브러리 '미토스(Mithos)'의 원격코드실행(RCE) 취약점이 공개되자마자 국내 12개 기관이 도미노처럼 무너졌다. 결제정보·진료기록 등 민감정보 최소 47만 건이 유출된 것으로 추정되며, 소프트웨어 공급망 보안의 구조적 취약점이 다시 한번 수면 위로 떠올랐다.

---

사건 개요: CVSS 9.8, 치명적 취약점의 확산

지난 8월 12일 보안 커뮤니티에 미토스 라이브러리의 RCE 취약점(CVE-2026-XXXX, CVSS 9.8)이 공개됐다. 미토스는 웹 애플리케이션의 데이터 직렬화 처리에 널리 사용되는 오픈소스로, 국내 수천 개 시스템에 적용된 것으로 파악된다.

문제는 취약점 공개 후 익스플로잇 코드가 즉시 유포되면서 공격자들의 '시간 싸움'이 시작됐다는 점이다. 불과 48시간 만에 전자상거래 플랫폼 4곳, 중소 의료기관 3곳, SaaS 기업 2곳, 공공기관 위탁업체 3곳이 연쇄 침해됐다.

피해 현황 분석

업종	피해 기관 수	주요 유출 정보	추정 유출 건수
전자상거래	4개	결제정보, 배송지	28만 건
의료기관	3개	진료기록, 처방내역	11만 건
SaaS 기업	2개	기업 고객 데이터	5만 건
공공 위탁업체	3개	민원인 개인정보	3만 건

특히 의료기관에서 유출된 진료기록은 「개인정보 보호법」상 민감정보에 해당해 과징금 산정 시 가중 요소로 작용할 전망이다.

공통 패턴: SBOM 부재가 만든 '보이지 않는 폭탄'

개인정보보호위원회와 한국인터넷진흥원(KISA)의 초동 조사 결과, 피해 기관 12곳 모두 SBOM(Software Bill of Materials, 소프트웨어 자재명세서) 관리 체계가 없었던 것으로 확인됐다.

SBOM이란 소프트웨어에 포함된 모든 오픈소스 구성요소와 버전을 목록화한 문서다. 이것이 없으면 취약점 공개 시 "우리 시스템에 해당 라이브러리가 있는지"조차 파악하는 데 수일이 걸린다.

한 피해 기관 보안담당자는 "미토스가 우리 시스템에 있는지 확인하는 데만 이틀이 걸렸고, 그사이 이미 침해가 이뤄졌다"고 토로했다.

기업·기관 대응 방안

첫째, SBOM 체계 즉시 구축이 필요하다. 미국은 2021년 행정명령(EO 14028)으로 연방기관 납품 소프트웨어에 SBOM을 의무화했다. 국내도 공공기관을 중심으로 도입이 시급하다.

둘째, 취약점 대응 SLA(서비스수준협약)를 수립해야 한다. CVSS 9.0 이상 취약점은 24시간 내 패치 적용을 원칙으로 삼고, 불가능할 경우 네트워크 격리 등 즉시 완화 조치를 취해야 한다.

셋째, 공급망 보안 점검을 정례화해야 한다. ISMS-P 인증 기준 2.10.4(개발보안)에서도 오픈소스 취약점 관리를 요구하고 있으나, 형식적 점검에 그치는 경우가 많다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

[ISMS-P 2.10.4 개발보안] 오픈소스 사용 시 라이선스 및 보안 취약점을 점검하고, 개발·운영 단계에서 지속적으로 모니터링해야 한다. SBOM은 이를 실현하는 핵심 도구이며, 공급망 공격(Supply Chain Attack) 대응의 기본 요건으로 출제 빈도가 높아지고 있다. 「개인정보의 안전성 확보조치 기준」 제6조(접근통제) 및 제7조(취약점 점검)와 연계해 학습할 것.

---

백남정 기자 | 개인정보보호 전문 취재팀