브로드컴(Broadcom)이 VMware ESXi, vCenter, 워크스테이션(Workstation), 퓨전(Fusion) 제품군에서 발견된 취약점 5건에 대한 패치를 공개했다. 이 가운데 3건은 최고 등급인 ‘크리티컬(critical)’로 분류됐다. 가장 위험도가 높은 결함은 가상머신 내부에서 물리 호스트 서버로 침투할 수 있는 이른바 ‘VM 이스케이프(VM escape)’ 취약점으로, CVSS 최대 점수 9.3을 받았다. 브로드컴은 수요일(현지시각) 새 보안 권고를 발표하면서 해당 결함들이 아직 실제 공격에 활용된 사례는 확인되지 않았다고 밝혔다. 다만 VMware 제품군은 그간 공격자들이 자주 노려온 표적인 만큼, 기업들이 최신 패치를 즉시 적용해야 한다고 강조했다.
VM 이스케이프 취약점, VMXNET3 어댑터가 통로
가장 심각한 결함은 CVE-2026-47876으로, ESXi의 VMXNET3 가상 네트워크 어댑터에서 발생하는 out-of-bounds write(경계를 벗어난 메모리 쓰기) 취약점이다. CVSS 최대 점수는 9.3이다. 이 취약점의 위험성은 가상머신과 물리 호스트 사이의 격리를 깨뜨릴 수 있다는 데 있다. 브로드컴은 보안 권고에서 “VMXNET3 가상 네트워크 어댑터를 사용하는 가상머신에서 로컬 관리자 권한을 가진 공격자가 이 문제를 악용해 호스트에서 코드를 실행할 수 있다”고 설명했다. VMXNET3가 아닌 다른 가상 어댑터는 이 문제의 영향을 받지 않는다.
브로드컴은 이 결함을 명시적으로 ‘VM 이스케이프’로 규정했다. 통상 가상화 환경에서는 하나의 물리 서버 위에 다수의 가상머신이 격리된 상태로 돌아가는데, VM 이스케이프가 성립하면 이 격리가 무너지면서 같은 호스트에 올라간 다른 가상머신까지 위협받을 수 있다. 공격 조건은 가상머신 내부에 이미 관리자 권한을 확보한 상태여야 한다는 점이지만, 내부자 위협이나 다른 취약점과 연계된 2차 공격 시나리오에서는 충분히 현실적인 위협으로 꼽힌다.
vCenter 인증 우회·코드 실행, CVSS 9.8 두 건
나머지 두 크리티컬 결함은 모두 vCenter에서 발견됐으며 CVSS 최대 점수 9.8로 이번 패치 대상 중 가장 높은 위험도를 기록했다. CVE-2026-59309는 VMware 디렉터리 서비스(VMware Directory Service)에 존재하는 인증 우회 취약점이다. 브로드컴은 “네트워크 접근 권한을 가진 공격자가 이 문제를 악용해 인증을 우회하고 시스템에 무단으로 접근할 수 있다”고 밝혔다.
CVE-2026-59310은 vCenter의 Syslog 서버에서 발생하는 디렉터리 트래버설(directory traversal) 취약점이다. 이 역시 네트워크 접근 권한만 있으면 공격자가 원격에서 임의 코드를 실행할 수 있다는 점에서 위험도가 크리티컬로 매겨졌다. 두 취약점 모두 네트워크에 접근만 가능하면 별도의 인증 절차나 높은 권한 없이 공략이 가능하다는 공통점이 있어, vCenter를 외부 네트워크와 분리하지 않고 운영하는 기업일수록 노출 위험이 크다는 평가가 나온다. 해당 결함은 VMware 클라우드 파운데이션(VMware Cloud Foundation)과 vSphere 파운데이션(vSphere Foundation) 9.1.x 계열에서는 9.1.0.0300, 9.0.x 계열에서는 9.0.2.0100으로 각각 수정됐다. vCenter 8.0 단독 버전은 8.0 U3k에서, VMware 클라우드 파운데이션 5.x 계열은 8.0 U3k로의 비동기 패치를 통해 대응이 이뤄졌다.
고위험·저위험 결함 2건도 함께 패치
크리티컬 3건 외에 고위험(high) 등급 CVE-2026-41703도 함께 수정됐다. CVSS 점수는 7.6이며, ESXi에서 발생하는 out-of-bounds read(경계를 벗어난 메모리 읽기) 취약점이다. 가상머신 배포 권한을 가진 공격자가 이를 악용하면 정보 유출이나 호스트 프로세스의 서비스 거부(DoS) 상태를 유발할 수 있다. 워크스테이션과 퓨전에서는 영향 범위가 정보 유출로 한정된다. 이 결함은 ESXi 9.1.0.0-25370933, ESXi 9.0.2.0100-25595025, ESXi 80U3i-25205845 버전과 워크스테이션 26H1, 퓨전 26H1, VMware 클라우드 파운데이션 5.2.3에서 수정됐다.
마지막으로 CVE-2026-41709는 ESXi에서 발견된 로깅 미흡 취약점이다. 관리자 권한을 가진 공격자가 특정 작업을 수행하면서도 로그를 남기지 않을 수 있게 하는 결함으로, 심각도는 낮음(low)으로 평가됐다. 이 결함은 ESXi 9.1.0.0-25370933, ESXi 9.0.2.0100-25595025, ESXi 80U3j-25429389에서 패치됐다.
실제 공격 사례는 없지만 신속 대응 필요
브로드컴은 이번에 공개된 5개 취약점 모두 실제 환경에서 악용된 사례는 아직 확인되지 않았다고 밝혔다. 그럼에도 회사는 고객들에게 최신 업데이트를 신속히 적용할 것을 권고했다. VMware 제품군은 다수 기업의 서버 인프라를 뒷받침하는 핵심 가상화 플랫폼인 만큼, 공격자들이 관련 결함을 지속적으로 노려온 이력이 있다는 점이 근거로 제시됐다.
브로드컴은 이번 보안 권고와 함께 각 취약점의 영향 범위와 패치 적용 요건을 상세히 설명하는 FAQ 문서도 별도로 공개했다. vCenter의 두 크리티컬 결함은 네트워크 접근만으로도 공략이 가능해 외부에 노출된 관리 인터페이스를 운영하는 기업일수록 우선적으로 패치를 적용할 필요가 있다. VM 이스케이프 취약점 역시 가상머신 격리라는 가상화 인프라의 근본 전제를 깨는 사안이라, 다수의 가상머신을 한 호스트에서 운영하는 클라우드·데이터센터 환경에서는 영향 범위를 면밀히 점검해야 할 것으로 보인다.
Copyright ⓒ 위키트리 무단 전재 및 재배포 금지
