마리모 RCE 취약점 CVE-2026-39987, 공개 10시간 만에 악용

핵심 요약

데이터 과학 및 분석을 위한 오픈소스 파이썬 노트북인 마리모(Marimo)에서 사전 인증 원격 코드 실행(RCE) 취약점(CVE-2026-39987, CVSS 9.3)이 공개 10시간 만에 악용되는 사고가 발생했습니다. 이 취약점은 인증 없이 원격에서 임의 코드를 실행할 수 있게 하여, 공격자가 시스템을 완전히 장악하고 데이터 유출, 서비스 중단, 추가 악성코드 배포 등 심각한 피해를 초래할 수 있습니다. 이는 [T1190] Exploit Public-Facing Application 전술과 같이 인터넷에 노출된 애플리케이션의 취약점을 악용하는 전형적인 공격 수법입니다. IT 감사인은 조직 내 마리모 사용 여부를 즉시 확인하고, 해당 취약점에 대한 패치 적용 및 보안 통제 현황을 긴급 점검하여 잠재적 리스크를 식별해야 합니다.

💡 개선 권고안

• ✔기술적 조치마리모(Marimo) 오픈소스 파이썬 노트북을 사용하는 모든 시스템에 대해 CVE-2026-39987 취약점을 해결하는 최신 보안 패치를 즉시 적용할 것을 권고함.
• ✔기술적 조치마리모가 운영되는 시스템에 대해 불필요한 외부 노출을 최소화하고, 네트워크 접근 제어(NAC) 및 방화벽 정책을 강화하여 인가된 사용자 및 IP 주소만 접근하도록 설정할 것을 권고함.
• ✔기술적 조치마리모 환경에서 비정상적인 프로세스 실행, 파일 변경, 네트워크 통신 등을 탐지할 수 있도록 EDR, SIEM 등의 보안 솔루션 탐지 규칙을 고도화하고 실시간 모니터링 체계를 강화할 것을 권고함.
• ✔관리적 조치조직 내 모든 IT 자산에 대한 소프트웨어 설치 현황을 주기적으로 점검하고, 오픈소스 소프트웨어 사용에 대한 보안 가이드라인을 수립 및 시행하여 잠재적 취약점 노출을 최소화할 것을 권고함.
• ✔관리적 조치취약점 관리 프로세스를 강화하여, CVE-2026-39987과 같이 심각한 취약점이 공개될 경우 신속하게 영향도를 평가하고 패치 적용 및 비상 대응 절차를 수행할 수 있도록 비상 계획을 수립 및 점검할 것을 권고함.
• ✔관리적 조치개발 및 운영 담당자를 대상으로 오픈소스 소프트웨어 사용 시 발생할 수 있는 보안 취약점의 위험성과 안전한 사용 방법에 대한 정기적인 보안 교육을 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문