미국 사이버보안 인프라보안국(CISA)이 Cisco·Citrix·Fortinet 네트워크 보안 장비에서 발견된 심각한 취약점 3건을 '실제 악용 확인 목록(KEV)'에 추가하고, 연방기관에 2026년 9월 12일까지 패치 적용을 의무화했습니다. 이 중 Cisco Firewall Management Center의 인증 우회 취약점(CVE-2026-20079)은 위험 점수 최고치인 CVSS 10.0으로, 공격자가 인증 없이 원격에서 시스템 루트 권한을 완전히 탈취할 수 있습니다. Fortinet 취약점(CVE-2025-25249)은 러시아어권 금전 목적 해킹 그룹이 이미 악용하여 'PivotC2'라는 악성 원격제어 프로그램(RAT)을 3,000개 이상 IP에 퍼뜨렸으며, 178개 기기가 실제 감염됐습니다. Citrix NetScaler 취약점(CVE-2026-19490)도 허니팟(공격 유인 시스템)에서 56건의 실제 공격 시도가 탐지됐습니다. 해당 제품을 운영 중인 기업은 즉시 패치를 적용하고 침해 흔적을 점검해야 합니다.
CISA가 Cisco FMC, Citrix NetScaler, Fortinet FortiOS·FortiSwitchManager·FortiSASE에 영향을 미치는 취약점 3건을 KEV에 등재했습니다. 세 취약점 모두 이미 실제 사이버 공격에 사용되고 있음이 확인된 상태입니다.
CVE-2026-20079(Cisco, CVSS 10.0)는 인증 없이 원격에서 루트 권한 탈취가 가능하며, CVE-2025-25249(Fortinet)는 PivotC2 RAT 배포에 악용되어 178개 기기를 감염시켰고 3,000개 이상 IP가 표적이 됐습니다. CVE-2026-19490(Citrix, CVSS 9.3)는 VPN·게이트웨이 인증을 완전히 우회할 수 있습니다.
세 취약점 모두 인터넷에 직접 노출된 경계 보안 장비(방화벽, VPN 게이트웨이)에 존재하며, 충분한 모니터링과 텔레메트리 로깅 없이 운영되는 환경이 초기 침투 경로로 악용됩니다.
CISA는 연방 민간 행정부(FCEB) 기관에 2026년 9월 12일까지 패치 적용을 의무화했습니다. SOCRadar는 Fortinet 제품 운영 조직에 인터넷 접근 제한, 침해 지표(IoC) 탐색, 자격증명 교체, 최신 패치 즉시 적용을 권고합니다.
Cisco FMC, Citrix NetScaler ADC/Gateway, Fortinet FortiOS·FortiSwitchManager·FortiSASE를 운영 중인 기업은 각 벤더 보안 권고문을 즉시 확인하고 패치를 적용해야 합니다. 경계 장비의 인터넷 노출 최소화, 정기적 취약점 스캔, 트래픽 모니터링 강화가 필수입니다.
본문
Ravie Lakshmanan · 2026년 9월 10일 · 취약점 / 네트워크 보안
미국 사이버보안 인프라보안국(CISA)은 수요일, Cisco·Citrix·Fortinet 각각에 영향을 미치는 취약점 3건을 실제 악용 확인 목록(KEV, Known Exploited Vulnerabilities)에 추가하고, 연방 민간 행정부(FCEB, Federal Civilian Executive Branch) 기관에 2026년 9월 12일까지 패치를 적용하도록 요구했습니다.
해당 취약점 목록은 다음과 같습니다.
- CVE-2026-20079 (CVSS 점수: 10.0) - Cisco Secure Firewall Management Center(FMC) 소프트웨어 웹 인터페이스에 존재하는 인증 우회 취약점으로, 인증받지 않은 원격 공격자가 인증을 우회하여 영향받는 장치에서 스크립트 파일을 실행함으로써 기반 운영체제에 대한 루트(root) 접근 권한을 획득할 수 있습니다.
- CVE-2026-19490 (CVSS 점수: 9.3) - Citrix NetScaler ADC 및 NetScaler Gateway가 AAA 가상 서버 또는 게이트웨이(SSL VPN, ICA Proxy, CVPN, RDP Proxy)로 구성된 경우 발생하는 인증 우회 취약점입니다.
- CVE-2025-25249 (CVSS 점수: 7.3) - Fortinet FortiOS, FortiSwitchManager, FortiSASE에 존재하는 힙 기반 버퍼 오버플로우(heap-based buffer overflow) 취약점으로, 원격 미인증 공격자가 특수하게 조작된 요청을 통해 임의의 코드 또는 명령을 실행(RCE, 원격 코드 실행)할 수 있습니다.
이번 발표와 함께 Cisco는 CVE-2026-20079에 대한 보안 권고문을 업데이트하여, 2026년 8월부터 해당 취약점을 표적으로 한 실제 악용 시도를 인지했다고 밝혔습니다. Cisco는 추가적인 세부 사항은 공개하지 않았습니다.
Cisco 라우터는 최근 몇 년간 공격자들의 집중 표적이 되어 왔습니다. 지난달 말 Sygnia가 발표한 보고서에 따르면, 'Fire Ant'로 불리는 중국 연계 사이버 첩보 그룹이 Cisco IOS XR 라우터에 무단 접근한 뒤 커스텀 악성코드를 이용해 지속 거점 확보, 데이터 수집, 고가치 네트워크 내부 깊숙한 침투에 이를 악용한 사례가 관찰되었습니다.
해당 사이버보안 기업은 "이 행동은 라우터의 역할을 통과 장치에서 수집 플랫폼으로 전환시킨다"고 설명했습니다. "공격자가 라우터를 장악하면, 해당 장치는 신뢰할 수 있는 네트워크 경로를 오가는 트래픽을 관찰하는 거점이 됩니다."
한편 CVE-2026-19490는 2026년 9월 3일 이후 Previdian의 허니팟(honeypot, 공격 유인용 가짜 시스템) 시스템을 표적으로 한 악용 활동이 관찰되었으며, 총 56건의 시도가 등록되었습니다. 이 중 36건은 2026년 9월 8일 하루에만 기록되었습니다.
CVE-2025-25249의 KEV 등재는 SOCRadar가 해당 취약점을 무기화하여 'PivotC2'라는 코드명의 기능이 풍부한 Node.js 기반 RAT(원격 접근 트로이목마, Remote Access Trojan)를 배포하는 악성 공격 캠페인에 관한 보고서를 발표한 데 이어 이루어졌습니다. 이 사후 익스플로잇(post-exploitation) 프레임워크는 대화형 셸(interactive shell), 터널링, 네트워크 스캐닝, 설정 정보 수집 등의 기능을 지원합니다.
이번 캠페인의 일환으로 3,000개 이상의 IP 주소가 표적이 된 것으로 추산되며, 178개 기기가 PivotC2에 감염된 것으로 나타났습니다. 피해는 미국에 집중되어 있습니다. 이 활동은 금전적 이익을 목적으로 하는 러시아어권 위협 행위자의 소행으로 평가됩니다. 해당 취약점의 최초 실제 악용 증거는 2026년 7월로 거슬러 올라갑니다.
관찰된 공격에서는 익스플로잇 바이너리가 포함된 셸 스크립트가 취약한 FortiGate 인스턴스를 표적으로 삼아 리버스 셸(reverse shell)을 설정하고 Node.js를 통해 단일 행의 JavaScript 명령을 실행합니다. 이는 이어서 암호화된 2단계 JavaScript 페이로드를 다운로드하고, 이를 복호화·실행하여 PivotC2를 배포하는 방식으로 이어집니다.
SOCRadar는 "PivotC2는 원격 명령·제어(C2) 서버와의 영구적인 아웃바운드 TLS 연결을 수립합니다. 기능 집합에는 대화형 셸, 파일 전송, SOCKS5/HTTP 프록시 터널링, 로컬 및 원격 포트 포워딩, CIDR 범위 스캐닝, FortiGate 특화 설정 정보 수집 및 자격증명 복호화가 포함됩니다"라고 밝혔습니다. "자동 모드(auto-mode) 플래그는 자율적 작동을 가능하게 하여, 최초 감염 시 사전 정의된 명령 시퀀스를 자동으로 실행합니다."
이번 조사 결과는 위협 행위자들이 충분한 모니터링이나 텔레메트리 로깅 없이 인터넷에 노출된 경계 장비(perimeter edge devices)를 지속적으로 스캐닝하며 초기 접근 권한을 확보하려 한다는 사실을 다시 한번 보여줍니다. SOCRadar는 Fortinet 제품을 사용하는 조직에 인터넷 접근 제한, 침해 지표(IoC) 탐색, 자격증명 교체, 최신 패치 적용을 권고하고 있습니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
