cPanel의 블랙 위크: 랜섬웨어 파동 및 이후 취약점 분석

웹 호스팅 환경은 현재 심각한 보안 폭풍을 겪고 있습니다. 불과 10일 만에 cPanel은 약 44,000대의 서버가 손상된 대규모 랜섬웨어 공격 이후 두 차례의 긴급 기술 보안 릴리스(TSR)를 발표해야 했습니다. 대규모 침해와 이어지는 고위험 패치의 연속은 단일 버그를 넘어선 시스템적인 취약점 위기를 시사합니다.

서버 관리자와 호스팅 제공업체에게 이는 단순한 패치 작업이 아니라 레거시 코드베이스의 위험성과 현대적인 악용 속도의 가속에 대한 중요한 경고입니다.

촉발 요인: CVE-2026-41940 및 "Sorry" 랜섬웨어

현재의 긴급성을 이해하려면 2026년 4월 말의 사건을 살펴봐야 합니다. cPanel은 CVE-2026-41940에 대한 긴급 패치를 발표했는데, 이는 치명적인 인증 우회 취약점(CVSS 9.8)입니다. 이 결함을 통해 인증되지 않은 원격 공격자는 cPanel 및 WHM에 완전한 관리자 권한을 획득할 수 있었습니다.

특히 이는 제로데이 익스플로잇이었습니다. 공격자는 2026년 2월부터 이 결함을 활용해 두 달간 눈에 띄지 않았으며, 그 결과 "Sorry"라는 랜섬웨어 변종을 위한 Go 기반 Linux 암호화 프로그램이 수만 개의 IP 주소에 배포되었습니다. 이 사건은 cPanel 내부 코드에 대한 보다 깊고 긴급한 감사를 촉발했습니다.

사후 조치: 세 가지 신규 취약점

2026년 5월 8일, cPanel은 사후 감사 과정에서 발견된 세 가지 추가 취약점을 해결하기 위해 두 번째 긴급 TSR을 발표했습니다. 이들 중 두 개는 심각도 8.8점이라는 높은 등급을 받았습니다.

CVE-2026-29202: 임의 Perl 코드 실행 (CVSS 8.8)

가장 심각한 신규 취약점입니다. 인증된 사용자는(공유 호스팅 환경에서는 어느 계정이든 가능) create_user API 호출을 통해 임의의 Perl 코드를 삽입할 수 있습니다. cPanel 컨텍스트 내에서 실행되는 Perl 코드는 시스템 수준 접근 권한을 갖기 때문에, 단일 테넌트가 전체 서버를 장악할 수 있습니다.

CVE-2026-29203: 위험한 심볼릭 링크를 통한 권한 상승 (CVSS 8.8)

이 취약점은 위험한 심볼릭 링크 처리와 관련됩니다. 공격자는 민감한 시스템 파일을 가리키는 심볼릭 링크를 만든 뒤 cPanel을 통해 chmod 작업을 트리거하여 파일 권한을 변경할 수 있습니다. 이는 전체 서비스 거부(DoS) 혹은 더 위험하게는 권한 상승으로 이어질 수 있습니다.

CVE-2026-29201: 임의 파일 읽기 (CVSS 4.3)

중간 정도의 등급이지만, 인증된 공격자가 feature::LOADFEATUREFILE adminbin 호출을 조작해 접근해서는 안 되는 파일을 읽을 수 있게 합니다. 직접적인 루트 경로는 아니지만, 다른 익스플로잇과 결합할 경우 필요한 정찰 데이터(자격 증명, 내부 경로 등)를 제공할 수 있습니다.

"집중적인 복구 사이클"

이 릴리스들의 시기는 집중적인 복구 사이클의 교과서적인 예시입니다. 중대한 침해가 발생하면 보안 팀은 일반적으로 "폭발 반경" 감사를 수행해 유사한 로직이나 패턴을 공유하는 인접 코드 경로를 모두 검토합니다.

대규모 랜섬웨어 공격 직후에 세 가지 추가 취약점이 발견된 것은 초기 결함이 고립된 사건이 아니라 코드베이스 전반에 걸친 문제의 증상임을 시사합니다. 한 커뮤니티 관찰자는 다음과 같이 언급했습니다:

"이러한 CPanel 해킹 사례를 보면서 코드베이스가 얼마나 오래됐는지, 그리고 얼마나 많은 취약점이 남아 있는지 다시 생각하게 됩니다."

운영 복구 및 패치

cPanel 서버를 관리하는 입장에서는 패치가 첫 번째 단계이며, 포렌식 조사가 두 번째 단계입니다. 2월부터 4월 28일 사이에 패치되지 않은 서버는 잠재적으로 침해된 것으로 간주해야 합니다.

즉시 적용해야 할 패치 단계

업데이트 적용: 루트 권한으로 /scripts/upcp 실행.
강제 업데이트(고정된 경우): /scripts/upcp --force 실행.
CloudLinux 6 전용: upcp 실행 전 /etc/cpupdate.conf를 CPANEL=cl6110으로 업데이트.
서비스 재시작: /scripts/restartsrv_cpsrvd 실행.
버전 확인: /usr/local/cpanel/cpanel -V 로 버전 확인.

포렌식 체크리스트

로그 감사: /usr/local/cpanel/logs/access_log와 login_log를 검토해 2026년 2월 23일 이후의 이상 패턴을 찾습니다.
랜섬웨어 스캔: 사용자 홈 디렉터리를 재귀적으로 스캔해 .sorry 확장자를 가진 파일을 탐지합니다.

더 넓은 보안 환경

이 위기는 고립된 현상이 아닙니다. 업계는 최근 짧은 기간에 공개된 고위험 Linux 커널 취약점(Copy Fail, Dirty Frag 등)의 급증을 목격하고 있습니다. AI 기반 보안 연구가 발견과 악용 사이의 간격을 좁히고 있다는 의견이 점점 더 많아지고 있습니다.

일부 비평가들은 cPanel의 광범위한 사용이 거대한 표적이 된다고 주장하며, 일부 사용자는 "직접 구축"을 고려하기도 합니다. 그러나 cPanel은 비전문가에게 접근성을 제공하는 데 탁월하며, 이를 대체하기는 쉽지 않습니다. 현재의 공격 물결은 자동화되고 AI 주도적인 악용 시대에 레거시 모놀리식 패널에 의존하는 위험성을 강조합니다. "설정하고 잊어버리기"식 서버 관리는 이제 공식적으로 종료되었습니다.