미국 CISA(사이버보안·인프라보안청)가 Cisco Catalyst SD-WAN Manager의 심각한 인증 우회 취약점(CVE-2026-76504, CVSS 9.8점)을 실제 악용 취약점 목록(KEV)에 추가했습니다. 이 취약점은 공격자가 로그인 없이도 조작된 HTTP 요청을 보내 관리자(admin) 권한으로 시스템에 접속할 수 있게 합니다. Cisco는 2026년 9월부터 실제 악용 사례를 확인했지만 공격 배후나 피해 규모는 공개하지 않았습니다. 미국 연방기관은 10월 3일까지 패치를 적용해야 하며, SD-WAN Manager를 쓰는 모든 조직은 즉시 최신 버전으로 업데이트하고 침해 흔적을 점검해야 합니다. 보안 전문가들은 올해만 Cisco SD-WAN 관련 취약점 8건이 KEV에 등재될 만큼 공격자들이 이 플랫폼을 집중 노리고 있다고 경고합니다.
Cisco Catalyst SD-WAN Manager의 인증 우회 취약점(CVE-2026-76504)이 실제로 악용되고 있어 CISA가 KEV 목록에 추가했다.
공격자가 로그인 절차 없이 관리자 권한으로 시스템 API에 접근할 수 있어, 네트워크 전체를 관리하는 SD-WAN Manager가 장악당할 위험이 있다.
HTTP 요청의 URI(자원 경로) 인코딩 처리 오류로 인한 헥스(16진수) 인코딩 취약점이 원인이다.
Cisco가 패치된 버전을 제공하고 있으며, 연방기관은 10월 3일까지 적용해야 한다. 로그 파일에서 'j_security_check' 관련 비정상 접근 흔적을 점검할 것을 권고했다.
SD-WAN Manager 운영 조직은 즉시 최신 버전으로 업그레이드하고, '/j_security_check'의 URL 인코딩 변형 POST 요청이 있었는지 로그를 반드시 점검해야 한다.
본문
Ravie Lakshmanan 2026년 10월 1일 취약점 / 네트워크 보안
미국 사이버보안·인프라보안청(CISA)은 수요일, Cisco Catalyst SD-WAN Manager에 영향을 미치는 심각한 인증 우회 결함을 실제 악용 취약점 목록(Known Exploited Vulnerabilities, KEV)에 추가했습니다. 실제 악용 사례가 보고된 데 따른 조치입니다.
CVE-2026-76504(CVSS 점수: 9.8)로 추적되는 이 취약점은 인증되지 않은 원격 공격자가 영향받는 시스템에 admin 사용자 권한으로 접근할 수 있도록 허용할 수 있습니다.
CISA는 "Cisco Catalyst SD-WAN Manager는 HTTP 요청에서 URI 인코딩을 부적절하게 처리하여 발생하는 헥스 인코딩(hex encoding) 취약점을 포함하고 있으며, 이로 인해 인증되지 않은 원격 공격자가 admin 사용자 권한으로 영향받는 시스템에 접근할 수 있다"고 밝혔습니다.
악용에 성공하면 공격자는 영향받는 시스템의 API로 조작된 HTTP 요청을 보내 인증 절차를 우회하고, admin 사용자로서 API에 접근할 수 있게 됩니다.
이번 발표는 Cisco가 2026년 9월 CVE-2026-76504의 실제 악용 사실을 인지했다고 밝힌 이후 나온 것입니다. 이 네트워크 장비 제조사는 고객이 자사 환경이 영향을 받았는지 확인할 수 있도록 침해 지표(Indicators of Compromise, IoC)를 공개했습니다 -
"/var/log/nms/containers/service-proxy/serviceproxy-access.log"에서 알 수 없거나 승인되지 않은 IP 주소로부터의 j_security_check 관련 항목을 점검할 것
"/var/log/nms/vmanage-server.log"에서 알 수 없거나 승인되지 않은 IP 주소로부터의 j_security_check 관련 항목, 특히 "viptela-reserved-"로 시작하는 사용자 이름에 대해 호출된 항목을 점검할 것
Cisco는 악용 활동의 세부 내용, 배후 세력, 현재까지 침해된 조직 수, 또는 CVE-2026-76504 악용의 최초 발생 시점에 대해 어떠한 세부사항도 제공하지 않았습니다. 연방 민간 행정부(Federal Civilian Executive Branch, FCEB) 기관들은 2026년 10월 3일까지 패치를 적용해야 합니다.
watchTowr의 위협 인텔리전스 책임자인 Jake Knott는 성명을 통해 "Cisco SD-WAN은 CISA의 실제 악용 취약점 목록에 항상 등장하는 단골손님 같은 존재로, 올해만 해도 8건의 2026년 CVE가 KEV에 등재되었다 -- 이는 공격자들이 이 플랫폼의 가치를 인식했다는 매우 명확한 신호이며, 이러한 패턴은 둔화될 기미가 보이지 않는다"고 말했습니다.
"이 모든 것은 누구에게도 놀라운 일이 아닐 것입니다. 기업이 대규모 네트워크를 관리, 구성, 모니터링하는 데 사용하는 단일 통합 관리 화면(single-pane-of-glass)으로서, 이는 당연히 매력적인 공격 대상입니다."
Catalyst SD-WAN Manager를 운영 중인 조직은 가능한 한 빨리 패치된 버전으로 업그레이드하고, 벤더의 가이드를 따라 "/j_security_check"의 URL 인코딩 변형 경로로 전송된 POST 요청을 조사하여 악용 흔적이 있는지 인스턴스를 점검할 것을 권고합니다.
같은 소식, 다른 매체 보도1건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
