개인 서버를 운영하는 홈랩(Homelab)에서 오픈소스 깃(Git) 서비스인 Forgejo v13이 해킹당해 약 24시간 동안 암호화폐 채굴에 악용되는 사건이 발생했습니다. 이번 침해는 Forgejo v13에 존재하는 원격 코드 실행(RCE) 취약점(CVE-2026-60004)을 통해 이뤄졌으며, 공격자는 자동화된 스크립트를 이용해 단 3초 만에 시스템을 장악했습니다. 다행히 다른 시스템으로의 횡적 이동이나 추가적인 피해는 확인되지 않았지만, 지원이 종료된 소프트웨어 사용과 허술한 보안 설정이 심각한 결과를 초래할 수 있음을 보여주는 사례입니다.
공격자는 먼저 홈랩의 Forgejo 인스턴스에 공개 가입을 통해 계정을 생성한 뒤, 악성 깃 훅(Git hook)을 실행하여 원격 코드 실행 권한을 얻었습니다. 이는 Gitea 기반의 Forgejo에서 diffpatch 엔드포인트의 결함을 악용한 것으로, 이미 최신 버전에서는 패치된 취약점이었습니다. 공격에 사용된 2단계 스크립트는 시스템의 CPU 아키텍처를 식별하고, 여러 다운로드 수단을 통해 암호화폐 채굴기 바이너리를 메모리에서 실행한 뒤 디스크에서 삭제하는 방식으로 작동했습니다. 이는 흔적을 최소화하려는 시도로 보이며, VirusTotal 분석 결과 모두 알려진 암호화폐 채굴기로 판명되었습니다. 홈랩 운영자는 CPU 사용량 급증 알림을 통해 이상 징후를 감지했으며, 침해 이전 백업으로 시스템을 복원하고 Forgejo를 최신 버전(v16)으로 업데이트하며 공개 가입 및 로컬 인증을 비활성화하는 등 보안을 강화했습니다.
이번 사고는 소프트웨어의 최신 버전 유지와 주기적인 보안 업데이트, 그리고 3-2-1 백업(3개의 복사본, 2가지 다른 저장 매체, 1개는 오프사이트 보관) 원칙의 중요성을 강조합니다. 특히 지원이 종료된(EOL) 소프트웨어는 더 이상 보안 패치가 제공되지 않으므로, 이를 인터넷에 노출하는 것은 매우 위험합니다. 또한, 공개 가입 설정이나 불필요한 서비스 노출은 공격자에게 쉬운 진입점을 제공할 수 있습니다. 개인이나 소규모 팀이 홈랩 또는 자체 호스팅 서비스를 운영할 때는 자동 업데이트 시스템을 구축하고, 외부 연결에 대한 강력한 인증 프록시를 사용하는 등 보안에 각별히 주의해야 합니다. 이번 사례는 비교적 피해가 적은 암호화폐 채굴로 끝났지만, 더 심각한 정보 유출이나 시스템 파괴로 이어질 수도 있었던 아찔한 경고입니다.