공격자들, 공격 체인을 형성할 수 있는 SonicWall SMA 1000 제로데이 취약점 두 개 악용 중

한 줄 요약

SonicWall의 SMA 1000 시리즈 VPN 장비에서 제로데이 취약점 두 개가 발견되어 실제 공격에 이미 악용되고 있습니다. 첫 번째 취약점(CVE-2026-83548)은 인증 없이도 공격 가능한 SSRF(서버 측 요청 위조, 서버가 내부 리소스에 대신 요청을 보내도록 속이는 공격) 취약점으로 심각도 최고 점수인 10.0을 받았습니다. 두 번째 취약점(CVE-2026-83549)은 관리자 권한의 공격자가 임의의 운영체제 명령을 실행할 수 있는 취약점(심각도 7.8)입니다. 공격자들은 이 두 취약점을 연계하여 장비에서 RCE(원격에서 시스템을 마음대로 조종하는 공격)를 수행하는 것으로 확인됩니다. SonicWall은 패치를 배포했으며, 즉시 업그레이드하고 침해 여부를 점검할 것을 권고합니다.

사건

SonicWall SMA 1000 시리즈 VPN 장비에서 두 개의 제로데이 취약점(CVE-2026-83548, CVE-2026-83549)이 발견되어 공격자들이 이를 연계한 공격 체인으로 이미 악용하고 있음이 확인됨.

영향

인증 없는 SSRF 공격으로 민감한 기능에 무단 접근한 뒤, 관리자 권한 탈취 후 OS 명령 삽입으로 장비 전체를 원격 조종(RCE) 가능. 영향 모델: SMA 6210, 7210, 8200v.

원인

Appliance Work Place 인터페이스의 인증 전 SSRF 취약점과 Appliance Management Console(AMC)의 인증 후 OS 명령 삽입 취약점이 공격 체인을 형성.

대응

SonicWall이 버전 12.4.3-03526 및 12.5.0-02952 핫픽스를 배포. 즉시 업그레이드, 침해 지표(IoC) 확인, 감염 확인 시 장비 재이미징 또는 재배포 및 모든 사용자·관리자 비밀번호와 TOTP(시간 기반 일회용 비밀번호) 초기화 권고.

실무 포인트

해당 장비를 운영 중이라면 즉시 최신 핫픽스로 업그레이드해야 하며, 침해 지표 발견 시 비밀번호 재설정만으로는 부족하고 장비 전체를 재배포해야 함. 한 달여 전 동일 제품군에서 UTA0533 위협 행위자가 KNUCKLEBALL 악성코드를 배포한 사례도 있어 해당 제품군의 지속적인 표적 가능성에 유의 필요.

본문

Ravie Lakshmanan · 2026년 9월 2일 · 취약점 / 네트워크 보안

SonicWall이 Secure Mobile Access(SMA) 1000 시리즈 VPN 어플라이언스에 영향을 미치는 두 가지 보안 결함을 해결하는 보안 업데이트를 배포했습니다. 해당 결함들은 제로데이 공격에 실제로 악용된 것으로 확인됩니다.

SonicWall의 William Perry와 Adam Babis가 내부적으로 발견한 이 취약점들은 다음과 같습니다.

CVE-2026-83548 (CVSS 점수: 10.0) - Appliance Work Place 인터페이스의 인증 전 SSRF(서버 측 요청 위조) 취약점으로, 원격의 미인증 공격자가 민감한 기능에 무단으로 접근하고 권한 없는 작업을 수행할 수 있습니다.
CVE-2026-83549 (CVSS 점수: 7.8) - Appliance Management Console(AMC)의 인증 후 운영체제 명령 삽입 취약점으로, 특정 조건에서 관리자 권한의 원격 인증 공격자가 임의의 명령을 실행할 수 있어 원격 코드 실행(RCE)으로 이어질 수 있습니다.

SonicWall은 "해당 취약점들이 적극적으로 악용되고 있음을 나타내는 사례를 조사했다"고 밝혀, 위협 행위자들이 두 취약점을 연계하여 취약한 장비에서 임의의 코드를 실행하고 있음을 시사합니다.

이 결함들은 다음 버전의 SMA 1000 모델 6210, 7210, 8200v에 영향을 미칩니다.

12.4.3-03453 (platform-hotfix) 이하 버전
12.5.0-02835 (platform-hotfix) 이하 버전

버전 12.4.3-03526 (platform-hotfix) 및 12.5.0-02952 (platform-hotfix)에서 수정이 완료되었습니다. SonicWall은 고객에게 아래 조치를 수행할 것을 권고합니다.

최신 핫픽스 버전으로 업그레이드
침해 지표(IoC) 존재 여부 시스템 점검
IoC가 발견된 경우, 어플라이언스를 재이미징(re-image) 또는 재배포하고, 모든 사용자 및 관리자 비밀번호를 변경하며, TOTP(시간 기반 일회용 비밀번호)를 초기화

SonicWall은 악용 활동의 구체적인 성격이나 배후에 대해서는 공개하지 않았습니다. 이번 사태는 동일 제품에서 다른 두 가지 결함인 CVE-2026-15409(CVSS 점수: 10.0)와 CVE-2026-15410(CVSS 점수: 7.2)에 대한 수정 패치가 배포된 지 한 달여 만에 발생했습니다. 해당 취약점들은 UTA0533이라는 위협 행위자가 KNUCKLEBALL 악성코드를 배포하는 데 악용한 바 있습니다.