Cisco의 이메일 보안 장비인 Secure Email Gateway에서 공격자가 실제로 악용한 SQL 인젝션(데이터베이스 명령어를 악의적으로 삽입하는 공격) 취약점(CVE-2026-76461)이 발견됐습니다. 이 취약점은 인증 없이 악성 이메일 한 통만 보내도 공격자가 서버의 최고 권한(root)을 획득할 수 있어 매우 위험합니다. 공격자는 흔적을 지울 수도 있으므로, 장비 내부 로그뿐만 아니라 외부 네트워크·방화벽 로그까지 교차 확인해야 합니다. Cisco는 수정 버전(15.5.5-014, 16.0.4-302, 16.5.0-780)으로 즉시 업그레이드할 것을 권고하고 있으며, 미국 CISA는 연방기관에 9월 17일까지 패치를 완료하도록 명령했습니다.
Cisco Secure Email Gateway의 이메일 파싱 로직에서 SQL 인젝션 제로데이 취약점(CVE-2026-76461)이 발견됐으며, 2025년 9월부터 실제 공격에 악용되고 있음이 확인됐다.
인증되지 않은 공격자가 악성 이메일 한 통으로 운영체제 root 권한을 획득할 수 있으며, 클라우드 버전 포함 다수 버전에 영향을 준다. 공격자가 로그를 삭제·은닉할 수 있어 피해 범위 파악이 어렵다.
AsyncOS 소프트웨어의 이메일 파싱 로직에서 입력값 검증이 불충분하여, 이메일 메시지에 포함된 SQL 구문이 그대로 실행된다.
Cisco는 수정 릴리스(15.5.5-014, 16.0.4-302, 16.5.0-780)를 배포했으며, 클라우드 버전은 이미 자동 업그레이드 완료됐다. CISA는 미국 연방기관에 9월 17일까지 패치 및 침해 여부 확인을 명령했다.
패치 후 mail_logs에서 의심스러운 SQL 구문을 검색하고, 장비 외부의 네트워크·방화벽 로그도 반드시 교차 확인해야 한다. 침해가 확인된 경우 가상 머신은 새로 배포하고 모든 자격증명과 암호화 자료를 갱신해야 한다.
본문
Cisco가 월요일 공식 확인한 바에 따르면, 공격자들이 SQL 인젝션 제로데이 취약점(CVE-2026-76461)을 이용해 Cisco Secure Email Gateway 어플라이언스를 침해했습니다.
Cisco의 제품 보안 사고 대응팀(Product Security Incident Response Team)은 2025년 9월에 이 취약점의 실제 악용 사실을 인지했으며, 피해 여부를 확인하는 데 활용할 수 있는 침해 지표(indicators of compromise)를 공유했습니다.
CVE-2026-76461 개요
이 취약점은 온프레미스 물리·가상 Secure Email Gateway 어플라이언스에서 실행되는 Cisco AsyncOS 소프트웨어 버전 16.5, 16.0, 15.5 및 그 이전 버전에 영향을 줍니다.
클라우드 기반 버전인 Cisco Secure Email Cloud도 영향을 받으며, Cisco는 "악성 활동이 탐지된 Cisco Secure Email Cloud 장치를 보유한 고객에게 직접 연락을 취했다"고 밝혔습니다.
이 취약점은 이메일 파싱 로직의 불충분한 입력값 검증으로 인해 발생하며, 인증받지 않은 공격자가 악성 SQL 구문을 포함한 조작된 이메일 메시지를 취약한 장치를 통해 전송함으로써 악용할 수 있습니다.
성공적인 공격에는 사용자의 상호작용이 필요하지 않습니다.
무엇을 확인해야 하나?
Cisco는 "공격이 성공할 경우 공격자가 임의의 SQL 구문을 실행할 수 있으며, 이는 기반 운영체제에서 root 권한으로 명령 실행으로 이어질 수 있다"고 설명했습니다.
Cisco는 Secure Email Gateway를 사용하는 조직에 장치의 mail_logs에서 의심스러운 SQL 구문을 확인할 것을 권고했습니다.
"출력 결과에 항목이 존재하면 악성 활동을 나타낼 수 있습니다. 장치가 클러스터의 일부인 경우 각 클러스터 장치의 로그를 검토하십시오"라고 Cisco는 덧붙였습니다.
다만, 위협 행위자가 root 권한으로 명령을 실행할 수 있게 되면, 이 접근 권한을 이용해 공격 흔적 및 침해 지표를 삭제·은닉할 수 있다는 점도 언급했습니다.
(예를 들어, 작년 말에는 중국과 연계된 것으로 추정되는 위협 그룹이 CVE-2025-20393 제로데이 악용으로 백도어를 심은 뒤 로그 삭제 도구를 사용한 사례가 있습니다.)
Cisco는 "관리자는 영향을 받은 장치 외부에 있는 네트워크 로그 및 방화벽 로그를 교차 확인하여, 영향을 받은 장치에서 외부 IP 주소로 발생한 예기치 않은 업로드나 악성 IP 주소로부터의 다운로드 등 잠재적인 의심 활동을 식별할 것을 강력히 권고한다"고 밝혔습니다.
어떻게 대응해야 하나?
Cisco는 이미 모든 Cisco Secure Email Cloud 장치를 릴리스 16.5.0-780으로 업그레이드했습니다.
CVE-2026-76461을 패치하기 위해 Cisco는 기업 관리자에게 수정 버전으로 업그레이드할 것을 권고합니다: 15.5.5-014, 16.0.4-302, 또는 16.5.0-780(권장). 15.5.5-014와 16.5.0-780은 소프트웨어 강화(hardening) 릴리스이기도 하며, Cisco가 자체 발견한 다수의 추가 중요 취약점에 대한 수정사항도 포함되어 있습니다.
업그레이드 후 보안팀은 각종 로그에서 침해 지표의 존재 여부를 검색해야 합니다. 침해가 확인된 경우 다음 중 하나를 수행해야 합니다:
- 물리 장치를 운영 중인 경우, 지원을 위해 Cisco 기술 지원 센터(TAC)에 문의합니다.
- 포렌식 정보를 기록하고, 수정된 소프트웨어 릴리스 중 하나를 실행하는 새 가상 머신을 배포하고, 제품 구성을 재구축하고, 어플라이언스에 설치된 자격증명 및 모든 암호화 자료를 갱신하고, 비정상적인 동작을 지속적으로 모니터링합니다.
미국 사이버보안 및 인프라 보안국(CISA)은 월요일 CVE-2026-76461을 실제 악용 취약점 목록(Known Exploited Vulnerabilities catalog)에 등재하고, 미국 연방 민간 기관에 목요일(9월 17일)까지 취약점을 해결하고 침해 증거를 확인할 것을 명령했습니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
