Cisco의 방화벽 관리 소프트웨어인 Secure FMC(Firewall Management Center)에서 최고 심각도(CVSS 10.0)의 인증 우회 취약점(CVE-2026-20079)이 실제 공격에 악용되고 있음이 공식 확인됐습니다. 이 취약점을 이용하면 로그인 없이 원격에서 시스템 최고 권한(root)으로 명령을 실행할 수 있어 매우 위험합니다. 별도의 우회 방법이 없으므로 Cisco는 즉시 최신 버전으로 업그레이드할 것을 권고하고 있습니다. 미국 CISA도 이 취약점을 알려진 악용 취약점(KEV) 목록에 추가하고, 연방 기관에 9월 12일까지 패치를 완료하도록 명령했습니다. 중요한 점은 핫픽스를 설치해도 이미 침해된 시스템은 자동으로 복구되지 않으므로, 로그를 통해 침해 여부를 반드시 확인해야 합니다.
Cisco Secure FMC 소프트웨어의 인증 우회 취약점(CVE-2026-20079, CVSS 10.0)이 실제 공격에 악용되고 있음이 확인됐다. 같은 제품의 정적 자격증명 취약점(CVE-2026-20316)도 함께 악용됐을 가능성이 높다.
인증되지 않은 원격 공격자가 root 권한으로 스크립트와 명령을 자유롭게 실행할 수 있다. Cisco Secure FMC 및 Security Cloud Control 방화벽 관리 사용 환경 전반에 영향을 미친다.
디바이스 부팅 시 생성되는 잘못된 시스템 프로세스가 원인이며, 웹 인터페이스에 조작된 HTTP 요청을 전송하는 방식으로 악용된다.
Cisco가 소프트웨어 패치 및 핫픽스를 제공했으며, 클라우드 호스팅 버전(Security Cloud Control)은 이미 자동 패치됐다. CISA는 KEV 목록에 등재하고 연방 기관에 2026년 9월 12일까지 패치를 완료하도록 지시했다. 이미 침해된 시스템은 Cisco TAC에 지원을 요청해야 한다.
우회 방법이 없으므로 즉시 최신 소프트웨어 버전으로 업그레이드해야 한다. /var/log/messages 파일에서 /var/tmp/license.tmp 관련 항목을 검색해 침해 여부를 점검해야 하며, 침해지표(IOC) 발견 시 핫픽스만으로는 복구가 불가능하므로 반드시 Cisco TAC에 연락해야 한다.
본문
Cisco는 Secure Firewall Management Center(FMC) 소프트웨어에서 발견된 최고 심각도의 인증 우회 취약점 CVE-2026-20079가 실제 공격에서 적극적으로 악용되고 있음을 공식 확인했다.
이 취약점의 CVSS 점수는 최고치인 10.0으로, 인증되지 않은 원격 공격자가 취약한 디바이스에서 인증을 우회하고 root 권한으로 스크립트 및 명령을 실행할 수 있다.
"2026년 8월, Cisco PSIRT(제품 보안 사고대응팀)는 이 취약점이 실제로 악용되고 있다는 사실을 인지했다"고 Cisco는 수요일 CVE-2026-20079 보안 권고를 업데이트하며 밝혔다.
Cisco는 공격이 언제 시작됐는지, 배후가 누구인지, 사후 악용 활동이 어떻게 이뤄졌는지는 공개하지 않았다.
Cisco는 올해 3월 CVE-2026-20079를 처음 공개했으나, 당시에는 이 취약점이 실제 공격에 악용된다는 증거가 없다고 밝혔다.
이 취약점은 부팅 시 생성되는 잘못된 시스템 프로세스가 원인이며, 영향을 받는 디바이스의 웹 인터페이스에 조작된 HTTP 요청을 전송하는 방식으로 악용될 수 있다.
공격에 성공하면 인증되지 않은 공격자가 root 권한으로 디바이스에서 스크립트와 명령을 실행할 수 있다.
이 취약점은 Cisco Secure FMC 소프트웨어와 Cisco Security Cloud Control Firewall Management에 영향을 미친다. Cisco는 클라우드 호스팅 방식의 Security Cloud Control 서비스는 이미 패치가 완료됐다고 밝혔다.
Cisco는 별도의 우회 방법이 없다고 밝히며, 고객들에게 최신 소프트웨어 버전으로 업그레이드할 것을 권고했다.
미국 사이버보안·인프라보안국(CISA)은 오늘 CVE-2026-20079를 알려진 악용 취약점(KEV) 목록에 추가하고, 연방 민간 행정부(FCEB) 소속 기관들에게 2026년 9월 12일까지 취약한 시스템을 보호하도록 명령했다.
7월에 이미 악용 징후 포착
Cisco는 자사 보안팀이 CVE-2026-20079의 실제 악용을 8월에 인지했다고 밝혔지만, 7월 권고 업데이트에 게시된 침해지표(IOC)는 이 취약점이 더 이전에 악용됐을 가능성을 시사한다.
7월 29일, Cisco는 Secure FMC의 또 다른 취약점 CVE-2026-20316을 공개했다. 이 취약점은 낮은 권한을 가진 계정의 정적 자격증명(하드코딩된 비밀번호) 문제로 발생한다.
당시 Cisco는 CVE-2026-20316이 실제 공격에 악용되고 있다고 밝히며, 다른 Secure FMC 취약점과 결합하면 권한 상승이 가능하다는 이유로 높음(High) 심각도를 부여했다.
BleepingComputer가 당시 보도한 것처럼, Cisco는 CVE-2026-20079 권고도 업데이트하면서 CVE-2026-20316과 동일한 침해지표를 추가했으나, 해당 취약점의 악용 여부는 확인하지 않았다.
Cisco는 관리자들에게 /var/log/messages에서 /var/tmp/license.tmp 관련 활동을 검색하도록 안내하며, 다음 예시 로그 항목을 공유했다:
Jul 23 16:16:33 firepower sudo: www : PWD=/ ; USER=root ; COMMAND=/usr/local/sf/bin/package_info.pl /var/tmp/license.tmp --lsm
Cisco는 이 항목이 발견될 경우 해당 Secure FMC 디바이스에서 취약점이 "악용됐을 가능성이 있다"고 밝혔다.
예시 로그 항목의 날짜는 7월 23일로, Cisco PSIRT가 CVE-2026-20079의 악용을 인지했다고 밝힌 8월보다 몇 주 앞선 시점이다.
또한 Cisco는 CVE-2026-20316과 CVE-2026-20079 양쪽 모두에 동일한 Secure FMC 핫픽스를 적용해 공개했다.
당시 BleepingComputer는 Cisco에 두 취약점이 연관돼 있는지, CVE-2026-20079도 악용된 적이 있는지, 두 권고에 동일한 침해지표를 의도적으로 추가한 것인지 질의했다.
Cisco는 이 질문들에 직접 답변하는 대신 다음과 같은 공식 입장을 전했다:
"2026년 7월 29일, Cisco는 Cisco Secure Firewall Management Center(FMC)의 취약점을 해결하는 소프트웨어 수정 사항을 배포했습니다. 세부 내용은 보안 권고(정적 자격증명 취약점, 인증 우회 취약점)에 명시돼 있으며, Cisco는 고객들이 즉시 가용한 수정 사항을 적용할 것을 강력히 권고합니다"라고 Cisco 대변인이 BleepingComputer에 밝혔다.
"지원이 필요한 고객은 Cisco 기술 지원 센터(TAC)에 문의하시기 바랍니다."
Cisco의 최근 업데이트는 CVE-2026-20079가 실제로 악용됐음을 확인했지만, 7월 23일의 활동이 두 취약점 모두를 이용한 것인지는 명확히 밝히지 않았다.
그러나 두 결함에 동일한 침해지표가 사용됐고, 7월에 동일한 핫픽스가 배포됐으며, 7월 23일자 로그 항목이 존재한다는 점은 두 취약점이 동일한 공격에서 함께 사용됐을 가능성을 시사한다.
Cisco는 침해지표를 발견한 고객들에게 TAC에 지원을 요청할 것을 권고하며, 핫픽스를 설치하면 추가적인 악용은 방지되지만 이미 침해된 디바이스는 복구되지 않는다고 경고했다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
