Cisco의 방화벽 중앙 관리 솔루션인 FMC(Firewall Management Center)에서 발견된 두 가지 심각한 취약점(CVE-2026-20079, CVE-2026-20316)이 국가 지원 해킹 그룹과 랜섬웨어 조직에 의해 실제로 악용되고 있습니다. CVE-2026-20079는 로그인 없이도 시스템 최고 권한(root)을 원격으로 탈취할 수 있는 인증 우회 취약점이며, CVE-2026-20316은 소프트웨어에 고정 삽입된 비밀번호를 이용해 무단 로그인이 가능한 취약점입니다. 러시아 국가 지원 그룹 Sandworm은 방화벽 설정 파일 탈취와 백도어 설치에 이 취약점들을 활용하고 있으며, Qilin 랜섬웨어 조직은 침투 후 보안 솔루션을 무력화하고 랜섬웨어를 배포하는 데 사용하고 있습니다. Cisco는 즉시 핫픽스를 적용할 것을 강력히 권고하고 있으며, 9월 16일 주에 종합 보안 강화 업데이트를 배포할 예정입니다.
Cisco FMC(방화벽 중앙 관리 소프트웨어)의 두 취약점(CVE-2026-20079: 인증 우회·root 권한 탈취, CVE-2026-20316: 하드코딩된 자격증명 악용)이 세 개의 위협 그룹에 의해 실제 공격에 사용되고 있음이 Cisco Talos에 의해 확인됐다.
공격자는 인증 없이 원격으로 FMC에 접근해 관리 대상 방화벽 설정 전체를 탈취하거나, 웹셸·백도어를 심고, 자격증명을 수집하며, 랜섬웨어까지 배포할 수 있다. 러시아 국가 지원 그룹 Sandworm과 Qilin 랜섬웨어 조직의 연루가 확인돼 피해 범위와 심각도가 높다.
CVE-2026-20079는 부팅 시 생성되는 잘못된 시스템 프로세스로 인한 인증 우회 결함이며, CVE-2026-20316은 FMC 소프트웨어에 하드코딩(고정 삽입)된 저권한 계정 자격증명에서 비롯됐다.
Cisco는 두 취약점에 대한 핫픽스를 이미 배포했으며, 9월 16일 주에 내부 발견 취약점을 포함한 종합 보안 강화 릴리스를 추가 배포할 예정이다. Cisco Talos는 침해 지표(IoC)를 공개했다.
FMC를 운영 중인 조직은 즉시 핫픽스를 적용해야 하며, 종합 릴리스를 기다리지 말 것을 Cisco가 명시적으로 권고했다. 두 CVE 모두 CISA KEV에 등재된 실제 악용 확인 취약점이므로 패치 적용 우선순위를 최상위로 설정해야 한다.
본문
국가의 지원을 받는 공격자와 금전적 동기를 가진 공격자들이 CVE-2026-20079를 적극적으로 악용하고 있습니다. 이 취약점은 Cisco Secure Firewall Management Center(FMC)의 심각한 인증 우회 취약점으로, FMC는 네트워크 전반의 여러 Cisco Secure Firewall 장비를 중앙에서 관리하는 데 사용됩니다.
실제 공격이 진행 중인 두 가지 FMC 취약점
Cisco Talos 연구원들은 수요일 "Cisco Secure Firewall Management Center(FMC) 소프트웨어에서 발견된 두 취약점의 악용을 적극 추적 중"이라고 공식 확인했습니다.
해당 취약점은 앞서 언급한 CVE-2026-20079와 CVE-2026-20316으로, Cisco는 2026년 7월에 이 두 취약점이 실제 공격에 사용되고 있음을 공개했습니다.
두 취약점 모두 FMC 소프트웨어의 웹 인터페이스에 존재합니다.
CVE-2026-20079는 Cisco 내부 보안 테스트 중 Brandon Sakai가 발견했으며, 2026년 3월 초에 수정 및 공개됐습니다.
이 인증 우회 취약점은 부팅 시 생성되는 잘못된 시스템 프로세스에서 비롯되며, 원격의 비인증 공격자가 특수하게 조작된 HTTP 요청만으로 패치되지 않은 장비에 root 접근 권한을 부여하는 스크립트와 명령을 실행할 수 있게 합니다.
CVE-2026-20316은 Horizon3.ai의 Jimi Sebree가 보고했으며, CISA가 이를 Known Exploited Vulnerabilities(실제 악용 확인 취약점) 목록에 추가한 7월 29일에 수정본과 함께 공개됐습니다.
저권한 계정의 정적(하드코딩) 자격증명에서 비롯된 이 취약점은 비인증 원격 공격자가 영향받는 장비 또는 인스턴스에 로그인할 수 있게 합니다.
Sandworm·Qilin 포함 세 개의 침해 클러스터
2026년 7월 Cisco가 CVE-2026-20316의 악용을 확인했을 당시, 두 CVE의 보안 권고문에 동일한 침해 지표(IoC)를 추가했지만 CVE-2026-20079가 공격에 활용되고 있는지는 밝히지 않았습니다.
이에 대한 공식 확인은 전날 이루어졌으며, Cisco 위협 인텔리전스 분석가들이 이 두 취약점 중 하나 또는 둘 모두를 활용하는 세 개의 침해 클러스터를 상세히 공개했습니다.
첫 번째 침해 클러스터는 CVE-2026-20079를 악용해 CSM Tomcat 웹루트 디렉터리에 악성 웹셸을 심고, 이를 통해 같은 디렉터리에 악성 JAR 파일을 배치합니다. 해당 파일은 공격자가 사용자 인증 데이터와 자격증명을 탈취하는 명령을 실행할 수 있게 합니다.
두 번째 침해는 러시아 국가 지원 그룹 Sandworm의 소행으로 추정되며, 두 취약점 중 하나를 통해 접근 권한을 획득하는 것으로 시작됩니다. 이후 license.tmp 파일을 악성 복사본으로 교체해 자신들의 명령·제어(C&C) 서버로 향하는 역방향 셸을 확립합니다. 마지막으로 관리 대상 Cisco 방화벽의 설정 파일을 수집하고, 자격증명 탈취·명령 및 파일 실행·패킷 스니핑·네트워크 스캐닝 등을 가능하게 하는 임플란트를 설치합니다.
세 번째 클러스터는 Qilin 랜섬웨어 조직의 소행으로 의심되며, 정적 자격증명(CVE-2026-20316)으로 로그인한 후 네트워크 및 엔드포인트 정찰, 자격증명 탈취, 추가 접근 경로 확보, 백신(AV) 킬러 배포, 랜섬웨어 투하 순으로 진행됩니다.
분석가들은 이 위협 클러스터들과 관련된 침해 지표를 공개했습니다.
"Talos가 해당 CVE들의 실제 악용을 확인했으므로, 고객은 Cisco가 CVE-2026-20079와 CVE-2026-20316에 대해 이미 배포한 영향 받는 소프트웨어 버전별 핫픽스를 즉시 적용할 것을 강력히 권고합니다."
"이 핫픽스와 내부적으로 발견된 기타 취약점을 포함한 종합 보안 강화 릴리스가 다음 주(9월 16일 주)에 배포될 예정입니다. 그럼에도 불구하고, 실제 악용이 확인된 만큼 종합 릴리스를 기다리지 말고 가능한 한 빨리 참조된 핫픽스를 적용하실 것을 강력히 권장합니다."
같은 소식, 다른 매체 보도1건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
