FortiClient EMS CVE-2026-35616 대응: KEV 등재와 인증 우회 완화

사전 인증 우회가 관리 평면까지 닿는 경로

FortiClient EMS 7.4.5·7.4.6에서 사전 인증 API 우회 취약점인 CVE-2026-35616이 공개됐다. CVSS v3.1 점수는 9.1 / Critical이며, GitHub과 Exploit-DB에 실제 익스플로잇 코드가 유포된 뒤 공격 표면이 빠르게 넓어졌다.

이 이슈는 FortiClient Cloud와 FortiSASE에는 영향을 주지 않으며, 온프레미스 FortiClient EMS 7.4.5와 7.4.6이 영향 범위다. 식별자는 CVE-2026-35616 및 FG-IR-26-099이고, 취약점 유형은 Pre-Authentication API Access Control Bypass(CWE-284)다.

CISA KEV에는 2026년 4월 6일, 발견 후 6일 만에 등재됐다. FCEB 패치 기한은 2026년 4월 9일로 3일 내 적용이 요구됐다. PoC 코드는 4건 이상 공개됐고, watchTowr 허니팟과 다수 SOC에서는 스캔 증가가 관측됐다.

KEV 등재의 배경에는 사전 인증이라는 낮은 공격 장벽, 관리 평면 장악 시 관리 대상 엔드포인트 전체로 이어지는 영향 범위, watchTowr·Defused Cyber 등 복수 관측자의 독립적인 실제 공격 확인이 함께 있었다.

Apache와 Django 사이에서 무너진 인증 신뢰

FortiClient EMS는 Apache 역방향 프록시 뒤에서 Django 애플리케이션 서버를 운영하는 2계층 구조다. 문제는 mTLS 인증 상태가 Django에 전달되는 경로가 하나가 아니라는 데 있다.

Apache mod_ssl은 검증 결과를 WSGI 환경 변수 SSL_CLIENT_VERIFY로 주입한다. 동시에 HTTP 헤더 X-SSL-CLIENT-VERIFY도 인증 소스로 허용된다. 외부 요청의 X-SSL-CLIENT-VERIFY를 제거하는 RequestHeader unset 지시어가 Apache 설정에 없으면, 공격자가 해당 헤더에 SUCCESS를 넣는 것만으로 Django 미들웨어가 인증 성공으로 해석할 수 있다.

⤢✕

Fortinet 공식 권고가 나온 뒤 72시간 이내에 4개 이상의 PoC가 공개됐고, Metasploit 모듈 준비 단계로 진입했다. 공개 코드의 흐름은 인증 우회, 관리자 세션 쿠키 발급, /api/v1/endpoint/mass_update 호출 자동화로 이어진다.

포트 443과 /admin/index.html의 특정 응답 시그니처를 기준으로 EMS를 식별하는 스캔이 이뤄졌고, 인증 우회 뒤 정책 푸시까지 수행하는 도구도 유포됐다. 공개 후 24시간 내 Shodan에 노출된 EMS 인스턴스의 31%에서 스캔이 관측됐다.

KEV 등재가 의미하는 패치 의무

CISA KEV는 2021년 BOD 22-01(Binding Operational Directive)을 근거로 실제 공격에 활용되는 취약점의 패치를 연방 기관에 강제한다.

단계	절차	기간
실 악용 확인	복수 신뢰 소스의 독립 보고	즉시
CVE 할당	MITRE CNA 승인 및 CVSS 평가	1~3일
KEV 심사	CISA 내부 위협 평가	1~2일
카탈로그 등재	공식 KEV 리스트 업데이트	등재 당일 공개
FCEB 통보	연방 민간 행정부 기관 공지	등재 후 24h
패치 기한	기본 21일, 긴급 3~14일	CVE별 지정
준수 보고	기관별 상태 CISA 제출	기한 내

CVE-2026-35616은 KEV 역사상 가장 짧은 3일 적용 기한이 부과된 사례 중 하나다. 사전 인증 조건과 관리 평면 장악 가능성이 결합된 점이 이례적인 기한의 근거가 됐다.

패치 전 프록시 계층에서 줄일 수 있는 노출

전체 시스템 패치를 즉시 적용하기 어려운 경우에는 프록시 계층의 부분 완화가 필요하다. Apache의 모든 VirtualHost에 RequestHeader unset X-SSL-CLIENT-VERIFY early, RequestHeader unset X-SSL-CLIENT-CERT early를 적용하고, 외부 네트워크에서 들어오는 X-SSL-* 계열 헤더는 WAF에서 차단한다.

리버스 프록시 앞단의 NGINX에서는 관리 네트워크 외 요청에 포함된 해당 헤더를 자동으로 제거할 수 있다. EMS 관리 포트는 관리 VLAN·VPN·제로트러스트 게이트웨이 뒤에 두고, SIEM에서는 X-SSL-CLIENT-VERIFY=SUCCESS 헤더를 포함한 요청을 이상 징후로 탐지한다.

⤢✕

KEV 공지 이후 운영을 움직이는 순서

KEV 취약점은 패치 적용만으로 닫히지 않는다. 먼저 CVE 발표 후 2시간 내 CMDB와 네트워크 스캔을 병행해 영향 자산 목록을 확보한다. 이후 외부 노출, 데이터 민감도, 업무 중요도를 기준으로 위험 가중치를 다시 평가한다.

패치 전에는 WAF와 네트워크 ACL 같은 보상 통제를 먼저 배포한다. 스테이징 환경에서 패치의 회귀와 호환성을 확인한 뒤, 파일럿·부분·전사 순서로 배포하고 각 단계에서 모니터링한다. 패치와 별개로 IoC와 행위 기반 compromise 탐색을 수행하며, 완료 확인서·잔존 리스크·개선 사항은 CISO에게 보고한다.

중앙 관리 서버가 가진 구조적 위험

FortiClient EMS, Microsoft Intune, JAMF, VMware Workspace ONE 같은 엔드포인트 관리 솔루션은 수천~수십만 대의 디바이스를 중앙에서 제어한다. 그만큼 단일 실패 지점이 되기 쉽다.

EMS 단일 계정이 장악되면 전 엔드포인트에 원격 명령을 보낼 수 있다. 관리 채널을 악용한 악성코드 배포는 AV·EDR 우회 경향이 있으며, 관리 API 호출은 정상 운영 활동으로 분류돼 경보가 누락될 수 있다. 벤더 서명과 업데이트 파이프라인도 공격 표면이 된다.

관리 평면과 데이터 평면은 물리적·논리적으로 분리하고, 관리 API는 별도 PAM(Privileged Access Management) 브로커를 경유시키는 구조가 필요하다.

조직 상황에 맞춘 패치 SLA

조직 유형	KEV 적용 SLA	비상 완화 SLA	검증 방식
연방 기관(FCEB)	CISA 고시 (통상 21일)	48시간 내	CSAF 보고
금융·의료	7일	24시간 내	경영진 승인
일반 기업	14일	72시간 내	CISO 승인
중소기업	30일	1주일 내	IT 책임자
관리형 서비스	14일	48시간 내	고객 공지

SLA에는 패치할 수 없는 자산의 보상 통제, 예외 승인 절차, 잔존 리스크 추적 체계도 포함돼야 한다.

CVE-2026-35616은 단순한 헤더 스푸핑 문제가 아니라 엔드포인트 관리 서버의 신뢰 경계 결함이 조직 전체의 공격 벡터가 되는 사례다. 3일이라는 짧은 CISA KEV 적용 기한은 이 취약점의 파급력을 보여준다. 자산 인벤토리의 실시간성, 프록시 계층 보상 통제, 패치 SLA 집행 체계를 평시에 갖추고, 관리 인프라 자체를 제로트러스트 원칙으로 재설계할 필요가 있다.