IBM의 Payment Agent가 인증되지 않은 런북 쓰기를 허용함 — CVE-2026-18875

IBM은 자사 결제 플랫폼인 IBM Financial Transaction Manager의 AI 에이전트 서버에서 결함을 공개했습니다. 자격 증명이 없는 호출자가 원하는 런북을 에이전트가 검색하는 벡터 데이터베이스에 작성할 수 있었고, 그러면 에이전트 자체의 Model Context Protocol 도구 호출이 읽은 내용에 따라 조종될 수 있었습니다. 2026년 9월 21일 게시된 IBM의 보안 공지에 따르면, 이 결함은 "무단 결제 행위 또는 결제 데이터 유출"을 초래할 수 있습니다. 해당 CVE인 CVE-2026-18875는 2026년 9월 23일 CVSS 3.1 기본 점수 7.3으로 공개되었으며, CWE-74에 매핑되었고 다음 위치에 있습니다: api.vectordb.runbooks.js:51. 야생에서 악용된 사례는 기록되지 않았으며, 이로 인한 고객, 결제 또는 데이터 손실은 없었습니다. 이 설명은 the Orca AI Incident Archive의 단일 항목에서 가져왔습니다. 이 아카이브는 CVE-2026-18875를 피해가 기록되지 않은 중간 심각도 취약점으로 기록하고, 다른 문서화된 에이전트 사건들 옆에 배치합니다.

CVE 47개가 담긴 공지 속의 CVE 하나

이 취약점에 대한 IBM의 권고문은 독립된 공지가 아닙니다. 이는 보안 게시판: IBM Financial Transaction Manager (FTM)가 여러 취약점의 영향을 받음 문서 UID ibm17288641의 단일 항목입니다. 이 문서의 영향을 받는 제품 및 해결 표는 이번 일괄 처리의 모든 CVE를 다룹니다. 이 페이지에는 IBM이 3.7점에서 9.9점으로 평가한 47개의 서로 다른 CVE 식별자가 있으며, 변경 이력에는 정확히 한 줄만 있습니다: "2026년 9월 21일: 최초 게시." 이 게시판은 게시된 후 개정되지 않았으며, 감사의 글 섹션은 비어 있습니다 — IBM은 47개 발견 사항 중 어느 것에 대해서도 연구자, 신고자 또는 고객 누구에게도 공로를 인정하지 않습니다.

RAG 항목은 그 목록에서 이상치입니다. 대부분의 인접한 CVE 설명은 일반적인 미들웨어 위생처럼 읽힙니다: 하드코딩된 암호화 키, 경로 순회, XML 외부 엔터티 처리, 안전하지 않은 역직렬화, IBM이 "원격 공격자가 승인되지 않은 결제 작업을 실행할 수 있도록 허용할 수 있다"고 말하는 누락된 권한 부여 확인. CVE-2026-18875는 제품의 AI 에이전트가 추론하는 자료를 획득하는 방식의 결함을 설명하는 유일한 항목입니다. 권고문에서 전체 인용된 IBM의 설명:

IBM Financial Transaction Manager(FTM) 4.x는 FTM AI 에이전트 서버(api.vectordb.runbooks.js:51)의 인증되지 않은 런북 업서트(CWE-74)를 통해 RAG 포이즈닝에 취약합니다. 인증되지 않은 공격자는 에이전트의 벡터 데이터베이스에 악성 런북 콘텐츠를 삽입하여 AI 기반 MCP 도구 호출을 조종할 수 있으며, 이로 인해 승인되지 않은 결제 작업이 트리거되거나 결제 데이터가 유출될 가능성이 있습니다.

날짜는 분리해서 볼 필요가 있습니다. 기록과 게시 공지가 같은 날짜를 사용하지 않기 때문입니다. IBM의 게시 공지에는 최초 게시 날짜가 2026년 9월 21일로 되어 있습니다. CVE 식별자는 2026년 8월 4일에 예약되었고, CVE 기록 자체는 2026년 9월 23일 15:47 UTC에 게시되었습니다. NVD의 항목은 같은 날 16:16 UTC에 뒤따랐습니다. 아카이브는 해당 사건을 CVE가 공개된 날인 2026년 9월 23일로, 일 단위 정밀도로 기록합니다.

메커니즘: 에이전트가 신뢰하는 스토어에 기록하는 것

검색 증강 생성 시스템은 저장소에서 구절을 가져와 모델 앞에 컨텍스트로 배치하는 방식으로 작동한다. IBM의 권고문은 해당 계층에 "runbook upsert" 함수를 두는데, 이는 runbook 항목을 에이전트의 벡터 데이터베이스에 기록하는 작업이며, 이 작업이 인증 없이 쓰기를 수락했다고 밝힌다. 권고문에 나온 경로 api.vectordb.runbooks.js:51은 JavaScript 서비스를 가리키며, 이는 IBM이 공개하는 아키텍처의 전부이기도 하다.

이로 인해 이 문제는 대부분의 에이전트 사고의 핵심인 간접 프롬프트 인젝션과는 다른 성격을 지닙니다. 일반적인 경우 공격자는 브라우징 또는 파일 읽기 에이전트 앞에 콘텐츠를 노출시켜야 합니다. 즉 에이전트가 가져올 페이지, 열 문서, 요약할 이메일을 오염시켜야 하죠. 하지만 여기서는 외부에서 아무것도 가져올 필요가 없습니다. 공격자는 에이전트가 이미 신뢰하는 저장소에 오염된 지식을 직접 기록하며, 저장소는 결제 워크플로 중에 이를 검증된 운영 지침으로 되돌려줍니다. 이 결함을 RBT-TI-0099로 작성하고 제로 클릭 데이터 유출을 동반한 간접 프롬프트 인젝션으로 규정한 위협 인텔리전스 기업 Redbot Security는 그 차이를 한 문장으로 정리합니다: "검색된 콘텐츠는 운영상의 영향력이 될 수 있습니다." 아카이브가 해당 레코드에 IPI 및 INFRA 태그를 붙인 것도 같은 이유입니다. 주입 경로는 에이전트의 명령 계층이고, 취약점은 인프라에 있기 때문입니다.

IBM이 말하지 않는 것도 말하는 것만큼 중요하다. 이 권고문은 에이전트가 호출할 수 있는 MCP 도구의 이름을 밝히지 않고, 그 도구들이 어떤 결제 작업에 접근하는지도 말하지 않으며, upsert 경로가 기본 FTM 배포 환경에 노출되는지 아니면 특정 구성에서만 노출되는지도 밝히지 않고, 그것을 보호하기로 되어 있던 인증 모델에 대해서도 설명하지 않는다. 그저 "잠재적으로"라고만 말하고, 거기서 끝이다.

7.3 읽기

CVSS 3.1 벡터는 AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L입니다. 풀어보면 네트워크를 통해 접근 가능하고, 공격 복잡도는 낮으며, 권한이 필요 없고, 사용자 상호작용도 필요 없습니다. 바로 이 점이 이 취약점을 심각하게 만듭니다. 그리고 기밀성 영향은 낮고, 무결성 영향은 낮으며, 가용성 영향은 낮고, 범위는 변경되지 않습니다. IBM 자체 수치로는 익스플로잇 가능성이 3.9, 영향은 3.4입니다. IBM이 평가한 모든 영향 차원은 Low입니다. 7.3은 IBM이 판단하기에 이 결함이 끼치는 피해 규모가 아니라, 결함에 도달하기가 얼마나 쉬운가에 거의 전적으로 기인합니다.

IBM만이 이 취약점에 점수를 부여했습니다. NVD는 2026년 10월 7일 기준으로 CVE-2026-18875를 "Analyzed"로 표시하고 있지만, 해당 기록에 있는 유일한 CVSS 지표는 IBM의 것으로 Secondary로 태그되어 있으며, NVD는 자체적인 기본 점수를 제공하지 않았습니다. GitHub의 Advisory Database에는 동일한 설명과 동일한 7.3이 실려 있으며, 2026년 9월 23일 18:31 UTC에 게시되었습니다.

IBM이 작성하지 않은 평가에 가장 가까운 것은 CVE 레코드에 있는 CISA의 ADP Vulnrichment 블록, 즉 2026년 9월 23일 18:48 UTC에 기록된 SSVC 2.0.3 결정입니다: 익스플로잇: 없음. 자동화 가능: 예. 기술적 영향: 부분적. 그 판정은 두 가지를 동시에 말하는데, 둘 다 같은 문장에 담겨야 합니다: CISA의 조정자는 게시 시점에 익스플로잇 정황을 보지 못했고, 이 결함을 자동화 가능하다고 판단했습니다. 즉, 일회성 수동 공격이라기보다 스캐너나 스크립트가 처리할 수 있는 유형이라는 것입니다.

FIRST의 Exploit Prediction Scoring System은 2026년 10월 25일자 모델 실행에서 CVE-2026-18875를 0.00369, 즉 대략 0.37%, 30번째 백분위수로 평가했습니다. EPSS는 향후 30일 내 관측된 악용 가능성을 추정합니다. 30번째 백분위수 점수는 조용한 수치이며, 실제로 발생한 일에 대한 보고가 아니라 예측입니다.

무엇이 확립되었고, 무엇이 그렇지 않은가

입증됨. 취약점은 존재하며 서로 일치하는 1차 출처에 문서화되어 있습니다. 2026년 9월 21일자 IBM 게시판, 2026년 9월 23일 공개된 CVE 레코드, NVD의 분석된 항목, GitHub의 보안 권고가 그렇습니다. 영향을 받는 버전 범위, 수정 버전, CVSS 점수와 벡터, CWE 매핑 및 코드 위치는 모두 동일합니다. 쓰기 경로는 자격 증명 없이 접근 가능했습니다. 이는 점수에서 추론한 것이 아니라 IBM 자체 설명에 있는 내용입니다. CISA 코디네이터는 악용 사례가 없음을 기록했습니다. 아카이브는 해당 레코드 신뢰도를 A로 평가하며, 분쟁 없음, 실제 피해는 false로 기록했습니다.

• 취약점. FTM AI 에이전트 서버의 api.vectordb.runbooks.js:51에서 인증되지 않은 런북 업서트로, 공격자가 에이전트가 검색하는 벡터 데이터베이스에 콘텐츠를 삽입할 수 있었습니다. IBM의 표현이며, 재구성한 것이 아닙니다.

• IBM이 주장하는 결과. 오염된 콘텐츠가 MCP 도구 호출을 승인되지 않은 결제 행위나 결제 데이터 유출 쪽으로 유도할 수 있다는 것입니다. IBM은 이를 잠재적 결과로 제시하며, 고객 환경에서 이를 입증했다고 주장하지는 않습니다.

• 수정 사항. FTM 4.0.11.0, IBM 지원 노드 7285661에서 참조됨. 이 게시판의 해결 방법 및 완화 필드에는 "없음"이라고 표시되어 있습니다.

• 악용 기록. 없음. 2026년 9월 23일자 CISA의 SSVC 기록에는 악용: 없음으로 기재되어 있으며, 2026년 10월 25일 기준 EPSS 수치 0.37%는 관측치가 아니라 예측치입니다. 검토된 어떤 출처에도 피해자, 거래 또는 손실은 나타나지 않습니다.

확인되지 않았습니다. 누가 결함을 발견했고 어떻게 발견했는지 — 보안 공지에는 발견자로 누구도 명시되어 있지 않으며, 이름이 밝혀진 연구자의 공개 분석 글도 없습니다. 취약한 경로가 기본 배포에서 노출되는지, 아니면 특정 구성에서만 노출되는지. 4.0.11.0이 실제로 무엇을 변경하는지: upsert 경로가 이제 인증을 요구하는지, 제거되었는지, 아니면 다른 방식으로 범위가 좁혀졌는지. FTM 배포 중 어느 것이든 엔드포인트를 신뢰할 수 없는 네트워크에 노출한 적이 있는지, 그리고 8월 4일 예약과 9월 23일 발표 사이에 얼마나 오랫동안 노출되었는지. 그리고 IBM이 경고하는 결제 작업이 어디에서든 시도된 적이 있는지.

보조 트래커의 버전 범위는 모두 일치하지 않습니다. 일부는 영향을 받는 범위를 "4.0.6.0 및 이전"으로 표시하는데, 이는 IBM이 게시한 내용이 아닙니다. 다른 일부는 4.0.7.0부터 4.0.11.0 미만까지로 제시하는데, 이는 NVD의 기계 판독 가능 구성과 일치하지만 4.0.6.0 임시 수정(interim-fix) 라인은 생략합니다. 이 사안의 권위 있는 출처는 IBM의 공지이며, 해당 공지는 위 카드에 재현된 여섯 개 버전 라인을 나열합니다.

아직 확립되지 않은 점이 하나 더 있는데, 그 이유는 누구도 그것을 확립하려고 시도하지 않았기 때문입니다. 어떤 주류 뉴스 조직이나 독립 연구소도 CVE-2026-18875에 대한 자체 분석을 공개한 것으로 보이지 않습니다. IBM이 작성하지 않은 공개 기록상 유일한 평가는 CISA의 3개 필드 SSVC 블록입니다. 2026년 10월 26일 기준으로 관련 내용은 IBM의 게시물, CVE 레코드, NVD, GitHub의 권고문, 그리고 IBM의 문구를 그대로 옮긴 일련의 취약점 트래커로 구성됩니다. CVE에 관한 여러 검색 결과는 출처가 불분명한 블로그 글로, 기계 생성된 것처럼 읽히며, 일부는 암호화폐 가격 위젯도 게시하는 사이트에 있습니다. 이 중 어느 것도 여기서 출처로 사용되지 않았습니다. 이 버그에 대한 두 번째의 독립적인 설명은 존재하지 않습니다.

해결책, 그리고 그 이후에 남는 공백

IBM의 해결책은 버전 업그레이드뿐입니다. FTM for Red Hat OpenShift 배포를 4.0.11.0으로 업데이트하는 것이며, 최초 수정은 지원 노드 7285661에 있고, 임시 우회책은 제공되지 않습니다. 마지막 점이 실질적으로 중요합니다. 벤더가 우회책 항목에 "None"이라고 게시할 때, 결제 일정상 4.0.11.0으로 이동할 수 없는 운영자에게는 벤더가 문서에 적지 않은 조치밖에 남지 않습니다. 즉 에이전트 서버의 런북 인터페이스에 접근할 수 있는 사람을 제한하는 것인데, 이는 Redbot Security가 권장하고 IBM은 권장하지 않습니다.

위험의 크기는 FTM이 무엇인지에 따라 달라진다. IBM은 이를 "배치 및 실시간 모델을 포함한 모든 결제 유형을 안전하게 처리, 모니터링 및 관리하는 통합 결제 허브"라고 설명하며, 트랜잭션 처리 및 라우팅을 위한 ISO 20022 지원과 인증된 SWIFT 연결을 위한 동반 SWIFT 제품을 갖추고 있다. IBM의 제품 페이지는 또한 FTM AI Assistant를 홍보하는데, 이는 "에이전트형 생성 AI 기반 대화형 인터페이스"로, 결제, 승인, 시스템 성능 및 문서를 아우른다. 이 권고문은 결함의 위치로 "FTM AI agent server"를 지목하고, 해당 서버가 마케팅 페이지의 어시스턴트와 어떻게 관련되는지는 전혀 언급하지 않는다. 두 문서를 함께 놓고 아키텍처 다이어그램을 그리는 사람은 그저 추측하는 것이다.

Redbot이 이 사건에서 끌어내는 설계 교훈은 패치 후에도 살아남는 것으로, 검색된 콘텐츠를 권한 경로 밖에 두라는 것이다. 그 권고는 런북 생성, 교체, 삭제에 인증, 승인, 귀속을 요구하고, 검색된 런북이 자체적으로 결제를 승인하거나 거래 범위를 넓히거나 외부 데이터 전송을 허용하도록 해서는 안 되며, 연결된 결제 서비스가 에이전트가 검색한 내용을 어떻게 해석하든 자체 권한을 시행해야 한다는 것이다. 이는 위협 인텔리전스 업체의 권고일 뿐 IBM의 약속이 아니며, IBM의 공지에는 그중 어느 것도 담겨 있지 않다.

아카이브가 그것을 중간이라고 부르는 이유

기록과 CVSS 점수는 서로 다른 질문에 답하고 있으며, 그 둘 사이의 간극이 이 사건에 대한 정직한 요약이다. IBM의 7.3은 쉽게 도달할 수 있는 결함에 대한 HIGH 등급 점수다. 아카이브는 해당 항목을 사건이 아니라 취약점으로 기록하며, 심각도 medium, 실제 피해 false, 신뢰도 A, 분쟁 플래그 없음, 날짜는 2026년 9월 23일로 정확히 기재하고 글로벌 지역 필드로 분류한다. 그 필드들은 무슨 일이 있었는지를 설명하는데, 실제로 일어난 일은 아무것도 없다.

그 조합이 이 항목의 요점이다. 누구나 기록할 수 있는 저장소에서 읽어 오는 결제 에이전트는 상당한 엔지니어링 성과였으며, 누군가 그것을 사용했다고 알려지기 전에 버전 업그레이드에서 수정되었다. 두 측면 모두 사실이고, 기록은 점수나 침묵만이 말하게 두지 않고 이 둘을 분리해 둔다.