Cisco가 자사 SD-WAN 관리 솔루션인 Catalyst SD-WAN Manager에서 올해 들어 다섯 번째로 실제 공격에 악용된 제로데이 취약점(CVE-2026-76504)을 공개했습니다. 이 취약점은 HTTP 요청의 URI 인코딩 처리 결함으로 인증을 우회해 공격자가 관리자 권한으로 API에 접근할 수 있게 합니다. Cisco는 2026년 9월 기술지원 요청을 처리하던 중 실제 악용 사실을 확인했으며, 공격 세부 내용은 공개하지 않았지만 침해 여부를 확인할 수 있는 지표(IoC)를 제공했습니다. 20.9 이전 버전을 쓰는 기업은 즉시 최신 버전으로 업데이트해야 하며, 별도 우회 대응책은 없습니다. 미국 CISA는 이 취약점을 실제 악용 취약점 목록(KEV)에 등재하고 연방기관에 10월 3일까지 조치와 침해 점검을 의무화했습니다.
Cisco Catalyst SD-WAN Manager에서 인증을 우회하는 제로데이 취약점(CVE-2026-76504)이 실제 공격에 악용된 사실이 확인됐습니다.
공격자가 관리자 권한으로 API에 접근해 SD-WAN 네트워크 전체를 장악할 수 있습니다.
HTTP 요청의 URI 인코딩 처리 오류로 인해 특정 API 엔드포인트 접근을 제한하는 인증 규칙이 우회됩니다.
Cisco는 20.9~26.2 버전에 대한 보안 업데이트를 제공했으며, 20.9 이전 버전 사용자는 즉시 최신 버전으로 마이그레이션해야 합니다. 별도 우회책은 없으며, 인터넷 노출을 제한하는 것이 임시 완화책입니다.
업데이트 전 serviceproxy-access.log, vmanage-server.log의 침해 지표(IoC)를 확인하고 로그와 장치 스냅샷을 확보해 위협 헌팅에 활용해야 합니다.
본문
올해 들어 다섯 번째로, Cisco는 자사 SD-WAN 솔루션의 취약점(CVE-2026-76504)이 공격자들에 의해 제로데이 공격에 악용되었다고 밝혔습니다.
이 벤더의 침해사고 대응팀은 Cisco 기술지원센터(Cisco Technical Assistance Center, TAC) 지원 사례를 접수하고 처리하는 과정에서, 2026년 9월에 이 취약점이 실제로 악용되고 있다는 사실을 인지했습니다.
Cisco는 아직 공격에 대한 세부 사항을 공개하지 않았지만, 방어자들이 자신이 공격 대상이 되었는지 확인할 수 있도록 침해 지표(indicators of compromise)를 제공했습니다.
CVE-2026-76504 에 대하여
CVE-2026-76504는 Cisco의 소프트웨어 정의 광역 네트워크(SD-WAN) 솔루션의 중앙 관리 콘솔인 Cisco Catalyst SD-WAN Manager에 영향을 미치는 API 인증 우회 취약점입니다. 이를 침해하면 공격자가 네트워크에 대한 제어권을 가질 수 있습니다.
"이 취약점은 HTTP 요청 내 URI 인코딩 처리가 부적절하여 발생하며, 이로 인해 특정 API 엔드포인트에 대한 접근을 제한하도록 설계된 인증 규칙을 요청이 우회할 수 있게 됩니다," 라고 Cisco는 설명했습니다.
"공격자는 영향받는 시스템의 API에 조작된 HTTP 요청을 보내는 방식으로 이 취약점을 악용할 수 있습니다. 공격이 성공하면 공격자는 인증을 우회하고 관리자(admin) 사용자 권한으로 API에 접근할 수 있게 됩니다."
CVE-2026-76504는 시스템 구성과 관계없이 다음 Cisco Catalyst SD-WAN Manager 릴리스에 영향을 미칩니다: 26.2, 26.1, 20.18, 20.15, 20.12, 20.9, 그리고 20.9 이전의 모든 릴리스.
어떻게 대응해야 하나?
20.9부터 26.2까지의 릴리스에 대해서는 수정 사항이 포함된 보안 업데이트가 제공되었지만, 20.9.10.1 이전 릴리스를 사용 중인 경우에는 이 취약점을 해결할 우회책이 없으므로 수정된 버전 중 하나로 마이그레이션해야 합니다.
"On-Prem(자체 구축) 배포 고객 환경에 대한 완화책으로서, [고객은] 인터넷과 같은 보안되지 않은 네트워크로부터의 시스템 접근을 제한해야 합니다," 라고 Cisco는 권고했습니다. "인터넷을 통한 시스템 접근이 필요한 경우, 사용자 가이드에 포함된 포트와 프로토콜상에서 알려진 신뢰할 수 있는 호스트로만 시스템 접근을 제한하십시오."
하지만 보안 업데이트를 적용하기 전에, 인터넷에 노출된 시스템이 공격자에 의해 탐색(probing)된 적이 있는지 확인하거나, 적어도 업데이트 이후 위협 헌팅에 활용할 수 있도록 로그와 장치 스냅샷을 확보해 두어야 합니다.
벤더가 제시한 침해 지표(IoC) 중에는 serviceproxy-access.log 와 vmanage-server.log 파일의 기록 항목들이 포함되어 있습니다.
"일부 경우, 이러한 침해 지표(IOC)는 정상적인 운영 과정에서도 발생할 수 있습니다. 따라서 오탐(false positive)을 식별하고 피하기 위해서는 평상시 네트워크 상태와 비교하여 평가해야 합니다," 라고 Cisco는 언급했으며, 고객이 조사에 대한 벤더의 도움을 받기 위해 TAC에 사례를 접수할 수 있다고 전했습니다.
미국 사이버보안 및 인프라보안국(CISA)은 CVE-2026-76504를 자사의 실제 악용 취약점(Known Exploited Vulnerabilities) 카탈로그에 추가하고, 미 연방 민간기관들에게 2026년 10월 3일까지 이를 해결하고 침해 평가(compromise assessment)를 수행하도록 명령했습니다.
같은 소식, 다른 매체 보도1건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
