Cisco, 새로운 제로데이 ISE 인증 우회(CVSS 10.0) 실제 공격 악용 경고

한 줄 요약

Cisco가 자사 네트워크 접근 제어 솔루션인 Identity Services Engine(ISE)에서 CVSS 최고점인 10.0짜리 취약점(CVE-2026-76460)이 실제 공격에 악용되고 있다고 경고했습니다. 이 취약점을 이용하면 아무런 계정 없이도 원격에서 장비에 접속해 관리자 권한(root)을 탈취할 수 있으며, 공격자가 침입 흔적을 지울 수도 있어 탐지가 매우 어렵습니다. 며칠 전에는 Cisco Secure Email Gateway에서도 유사한 심각 취약점(CVE-2026-76461)이 이미 악용되고 있다고 알려졌습니다. 이번 패치 공개 시 Cisco는 ISE·Secure Firewall·Nexus Dashboard 등을 포함해 총 77개의 새로운 CVE를 함께 수정했으며, 상당수가 인증 우회·원격 코드 실행(RCE) 등 고위험 유형입니다. 미국 사이버보안 기관 CISA는 연방기관에 2026년 9월 19일까지 패치 적용을 의무화했고, 일반 기업도 즉시 업데이트가 필요합니다.

사건

Cisco ISE에서 CVSS 10.0 인증 우회 취약점(CVE-2026-76460)이 발견됐으며, 실제 공격에 이미 악용되고 있다. 같은 시기 Cisco Secure Email Gateway의 CVE-2026-76461(CVSS 9.8)도 실제 공격에 사용 중인 것으로 확인됐다.

영향

공격자는 계정 없이 원격으로 ISE 장비에 접근해 root 권한으로 임의 명령을 실행할 수 있다. 공격 성공 시 침입 흔적과 IoC(침해지표)가 삭제·은닉될 수 있어 포렌식이 어렵다. ISE·Secure Firewall·Nexus Dashboard 등 광범위한 Cisco 제품군에 걸쳐 77개 CVE가 추가 공개됐다.

원인

CVE-2026-76460은 특정 API 엔드포인트의 인증 제어 미흡으로 발생한다. 조작된 요청 하나만으로 웹 기반 관리 인터페이스 인증을 우회할 수 있다.

대응

Cisco는 각 버전별 패치(ISE 3.1 Patch 12 등)를 배포했다. 우회책(workaround)은 없으나 인프라 접근 제어 목록(iACL)으로 관리 트래픽을 제한하는 완화 조치를 권장한다. CISA는 연방기관에 9월 19일까지 패치 적용을 의무화했다.

실무 포인트

ISE 운영 조직은 즉시 해당 버전 패치를 적용하고, access.log에서 'dummyuser' 등 의심 계정을 조회해야 한다. 침해가 확인되면 영향받은 노드를 재이미징하고 설정 백업에서 복구해야 한다.

본문

Ravie Lakshmanan 2026년 9월 17일 · 취약점 / 웹 보안

Cisco가 Identity Services Engine(ISE)에 영향을 미치는 최고 심각도 보안 결함이 실제 공격에 악용되고 있다고 경고했다.

CVE-2026-76460(CVSS 점수: 10.0)으로 추적되는 이 취약점은 인증되지 않은 원격 공격자가 인증을 우회할 수 있도록 허용할 수 있다.

"이 취약점은 API 엔드포인트의 불충분한 인증 제어로 인해 발생합니다," Cisco가 밝혔다. "공격자는 영향을 받는 API 엔드포인트에 조작된 요청을 전송함으로써 이 취약점을 악용할 수 있습니다. 악용에 성공하면 공격자는 웹 기반 관리 인터페이스를 우회해 해당 장비에 무단으로 접근할 수 있습니다."

이 문제는 장비 설정과 무관하게 Cisco ISE 및 Cisco ISE Passive Identity Connector(ISE-PIC) 모두에 영향을 미친다. 다음 버전에서 수정됐다 -

3.1 - 3.1 Patch 12에서 수정
3.2 - 3.2 Patch 11에서 수정
3.3 - 3.3 Patch 12에서 수정
3.4 - 3.4 Patch 7에서 수정
3.51 - 3.5 Patch 4에서 수정

Cisco는 "이 취약점의 실제 악용을 인지하고 있다"고 밝히며, 위협에 대응하기 위해 고객들에게 수정된 소프트웨어 버전으로 업그레이드할 것을 촉구했다. 회사는 해당 결함을 악용하는 공격의 성격이나 배후에 대한 구체적인 정보는 공개하지 않았다.

침해지표(IoC)와 관련해 Cisco는 "access.log"를 검토하고 의심스러운 사용자명을 확인할 것을 권장하고 있다. 장비가 분산 배포 환경의 일부인 경우 각 노드의 로그를 모두 검토하는 것이 필수적이다. 예상치 못한 사용자명을 탐지하기 위해 다음 명령어를 제공했다 -

admin#show logging application ise-kong/access.log | include dummyuser

명령어 출력에 어떤 항목이라도 존재하면 악의적인 활동을 나타낼 가능성이 높다. 그러한 활동이 감지되면 영향받은 노드를 재이미징하고 필요한 경우 설정 백업에서 복구할 것을 권고했다.

"이 취약점의 성공적인 악용 시, 위협 행위자는 root 권한으로 명령 실행 권한을 획득할 수 있습니다," Cisco가 밝혔다. "이러한 수준의 접근 권한으로 인해 위협 행위자가 악용 증거와 침해지표를 제거하거나 은닉할 수 있습니다."

Cisco는 또한 우회책(workaround)이 없다는 점을 강조하면서도, 완화 조치로서 인프라 접근 제어 목록(iACL)을 사용해 해당 장비로 향하는 필수 관리 및 컨트롤 플레인 트래픽만 허용할 것을 권장했다.

미국 사이버보안 및 인프라 보안국(CISA)은 2026년 9월 16일 CVE-2026-76460을 Known Exploited Vulnerabilities(KEV) 카탈로그에 추가했으며, 연방 민간 행정부(FCEB) 기관들에 2026년 9월 19일까지 패치를 적용하도록 의무화했다.

이번 공개는 Cisco가 Cisco Secure Email Gateway용 AsyncOS 소프트웨어에 영향을 미치는 심각 취약점(CVE-2026-76461, CVSS 점수: 9.8)이 실제 공격에 악용되고 있다고 밝힌 지 불과 며칠 만에 이루어졌다.

CVE-2026-76460 외에도 Cisco는 자사 제품 포트폴리오 전반에 걸친 다수의 심각 보안 취약점에 대한 수정 패치를 배포했으며, 일부는 지속적인 검토 과정에서 강화 조치로 발표된 것이다. 수요일에 발행된 77개의 새로운 CVE 중 41개는 ISE에, 28개는 Secure Firewall 포트폴리오에 영향을 미친다. 각 결함에 대한 간략한 설명은 다음과 같다 -

CVE-2026-20176 (CVSS 점수: 9.9), CVE-2026-20211 (CVSS 점수: 9.1), CVE-2026-20307 (CVSS 점수: 9.1) - 인증된 원격 공격자가 영향을 받는 장비의 기반 운영체제에서 임의 명령을 실행할 수 있도록 허용할 수 있는 ISE의 다수 취약점. 이 취약점들을 악용하려면 공격자가 유효한 관리자 자격증명을 보유해야 한다.
CVE-2026-76423 (CVSS 점수: 10.0), CVE-2026-76424, CVE-2026-76425, CVE-2026-76426, CVE-2026-76427, CVE-2026-76428 - 원격 공격자가 REST API 인증을 우회하고, 원격 코드 실행(RCE)을 수행하며, SQL 인젝션 및 XML External Entity 인젝션 공격을 수행할 수 있도록 허용할 수 있는 ISE 및 Cisco ISE Passive Identity Connector(ISE-PIC)의 다수 취약점.
CVE-2026-20282 (CVSS 점수: 9.1), CVE-2026-20283, CVE-2026-20284 - 인증된 원격 공격자가 SQL 인젝션을 수행하거나, 데이터를 수정하거나, 영향을 받는 장비의 기반 운영체제에서 임의 명령을 실행할 수 있도록 허용할 수 있는 ISE의 다수 취약점.
CVE-2026-20305 (CVSS 점수: 9.1), CVE-2026-20306 (CVSS 점수: 9.1) - 인증된 원격 공격자가 영향을 받는 장비에서 명령 인젝션 공격을 수행하고 root 사용자로서 임의 명령을 실행할 수 있도록 허용할 수 있는 ISE 및 ISE-PIC의 다수 취약점. 이 취약점들을 악용하려면 공격자가 유효한 관리자 자격증명을 보유해야 한다.
CVE-2026-20322 (CVSS 점수: 9.9), CVE-2026-20325 (CVSS 점수: 9.9), CVE-2026-20326 (CVSS 점수: 9.8), CVE-2026-20360, CVE-2026-20361, CVE-2026-76409 - 명령 인젝션, 인증 또는 권한 부여 우회, 정보 노출로 이어질 수 있는 Cisco Nexus Dashboard의 다수 취약점.
CVE-2026-20130 (CVSS 점수: 10.0), CVE-2026-20192 (CVSS 점수: 10.0), CVE-2026-20194 (CVSS 점수: 9.1), CVE-2026-20234 (CVSS 점수: 9.9), CVE-2026-20237 (CVSS 점수: 9.9), CVE-2026-20287 - 명령 인젝션, 인증 또는 권한 부여 우회, 정보 노출로 이어질 수 있는 ISE 및 ISE-PIC의 다수 취약점.
CVE-2026-20329 (CVSS 점수: 9.9), CVE-2026-20330 (CVSS 점수: 9.9), CVE-2026-20331 (CVSS 점수: 9.6), CVE-2026-20332 (CVSS 점수: 9.0), CVE-2026-20333, CVE-2026-20334, CVE-2026-20335, CVE-2026-20336 - CWE(공통 취약점 유형) 분류별로 묶인 Cisco Secure Firewall Adaptive Security Appliance(ASA) 소프트웨어, Cisco Secure Firewall Threat Defense(FTD) 소프트웨어, Cisco Secure Firewall Management Center(FMC) 소프트웨어의 다수 취약점. 예외적 조건의 부적절한 처리, 부적절한 접근 제어, 코딩 표준 미준수, 리소스 수명 주기의 부적절한 제어 등의 영역을 포괄한다.
CVE-2026-76412, CVE-2026-76413, CVE-2026-76420 (CVSS 점수: 9.0) - 원격 공격자가 root 접근 권한을 획득하고 세션 위조 또는 세션 가장을 수행할 수 있도록 허용할 수 있는 Cisco Secure Firewall Management Center(FMC) 소프트웨어의 다수 취약점.
CVE-2026-20324 (CVSS 점수: 9.9) - 인증된 원격 공격자가 root로서 임의 명령을 실행할 수 있도록 허용할 수 있는 FMC 소프트웨어의 sftunnel 장비 간 통신 프로토콜의 취약점.
CVE-2026-20340, CVE-2026-20341 (CVSS 점수: 9.1), CVE-2026-20342, CVE-2026-20343, CVE-2026-20344 - 원격 공격자가 root 접근 권한 획득, 민감 파일 다운로드, SQL 인젝션 공격 수행 또는 서비스 거부(DoS) 상태를 유발할 수 있도록 허용할 수 있는 FMC 소프트웨어의 다수 취약점.
CVE-2026-20242 (CVSS 점수: 9.8) - 인증되지 않은 원격 공격자가 영향을 받는 장비에서 root로서 임의 명령을 실행할 수 있도록 허용할 수 있는 FMC 소프트웨어의 외부 데이터베이스 접근 기능 취약점.
CVE-2026-20353 (CVSS 점수: 9.8), CVE-2026-76440 (CVSS 점수: 9.8), CVE-2026-76441 (CVSS 점수: 9.8), CVE-2026-76442 (CVSS 점수: 9.8), CVE-2026-76443 - 경로 탐색(path traversal), 인증 또는 권한 부여 우회, 비제어 리소스 소비, 명령 인젝션으로 이어질 수 있는 Cisco Secure Email Gateway 및 Cisco Secure Email and Web Manager의 다수 취약점.