[8월 18일 보안브리핑] Ray CVE-2025-62593 KEV 추가｜브라우저 기반 코드 실행 위험

오늘의 주요 보안 이슈

2026년 8월 17일 미국 사이버보안·인프라보안국(CISA)은 Ray의 코드 주입 취약점 CVE-2025-62593을 알려진 악용 취약점 목록(KEV)에 추가했습니다. 새 취약점 공개가 아니라, 이미 공개돼 있던 결함에 대해 실제 악용 근거가 확인됐다는 운영상 변화가 핵심입니다.

이번 조사 범위는 8월 17일 09:00부터 8월 18일 08:59까지(KST)입니다. 이 시간대에 선정 기준을 충족한 신규·변경 침해사고와 KISA 보안공지는 확인되지 않았으며, CVE-2026-69414는 독립 원고 기준을 충족하지 않아 별도 발행하지 않았습니다.

왜 개발 환경도 점검 대상인가

공식 GitHub 보안 권고에 따르면 영향을 받은 환경은 Ray 2.52.0 미만입니다. Firefox 또는 Safari에서 악성 웹사이트나 광고를 방문한 상황과 DNS 리바인딩이 결합되면, 브라우저가 로컬 또는 내부망의 Ray 서비스에 요청을 전달하는 경로가 형성될 수 있습니다.

Ray 서비스가 인터넷에 직접 노출되지 않았다는 이유만으로 안전하다고 단정하면 안 됩니다. 브라우저가 내부 서비스와 외부 콘텐츠 사이의 중간 경로가 될 수 있은 조건을 함께 확인해야 합니다.

운영자가 먼저 확인할 항목

1. 개발 PC, 분석 서버, AI·ML 클러스터에서 Ray 설치 여부와 버전을 자산 목록·패키지 관리 기록으로 확인합니다.
2. Ray가 2.52.0 미만이면 공식 권고에 따라 2.52.0 이상으로 업데이트하고, 업데이트 후 실제 실행 버전을 다시 확인합니다.
3. Ray 대시보드와 작업 제출 기능이 외부 또는 불필요한 내부 구간에 노출되지 않도록 방화벽·보안그룹·바인딩 설정을 점검합니다.
4. 개발자가 Firefox 또는 Safari로 신뢰할 수 없은 웹 콘텐츠를 열었던 경우 Ray 작업 제출 기록과 비정상 프로세스, 계정·토큰 사용 흔적을 함께 검토합니다.
5. 업데이트만으로 끝내지 말고 불필요한 서비스 종료, 접근 허용 범위 축소, 인증 기능 적용 가능성을 검토합니다.

우선순위 판단

Ray를 사용하지 않은 조직은 자산 검색 결과를 기록하고 일반 취약점 모니터링으로 전환하면 됩니다. Ray 2.52.0 미만을 개발 PC나 내부 클러스터에서 사용한다면 인터넷 직접 노출 여부와 무관하게 높은 우선순위로 업데이트해야 합니다. 특히 브라우저 사용과 Ray 개발 환경이 같은 기기 또는 같은 신뢰 구간에 있은 경우에는 노출 제한과 로그 확인을 함께 수행해야 합니다.

CISA의 연방기관 조치 기한은 2026년 8월 20일입니다. 이 날짜는 모든 조직에 동일하게 적용되는 법적 기한은 아니지만, 실제 악용이 확인된 취약점이라는 점에서 민간 조직도 패치와 노출 축소를 지연할 근거로 사용해서는 안 됩니다.

확인 기준

2026년 8월 18일 08:59 KST까지 공개된 공식 자료를 기준으로 작성했습니다. 이후 CISA, Ray 프로젝트 또는 공급망의 추가 공지에 따라 영향 범위와 대응 내용이 달라질 수 있습니다.