Cisco의 방화벽 관리 소프트웨어인 Secure Firewall Management Center(FMC)에서 발견된 두 가지 취약점(CVE-2026-20079, CVE-2026-20316)이 실제 공격에 악용되고 있습니다. 공격자들은 인증 없이 시스템에 침투해 관리자 권한을 얻거나 설정 정보·계정 자격증명을 빼내고 있으며, 러시아 정부 연계 해킹 그룹이 사용하던 악성코드 변종까지 배포된 사례도 확인됐습니다. 특히 랜섬웨어 조직 'Qilin'은 이 취약점을 통해 기업 내부 네트워크를 장악하고 대규모 파일 암호화를 시도한 것으로 밝혀졌습니다. 미국 CISA(사이버보안 및 인프라 보안국)는 두 취약점을 모두 '실제 악용이 확인된 취약점 목록(KEV)'에 등재했으며, 연방 기관에는 2026년 9월 12일까지 패치 적용을 의무화했습니다. Cisco FMC를 운영 중인 조직은 즉시 핫픽스를 적용해야 합니다.
Cisco Secure Firewall Management Center(FMC)의 두 취약점(CVE-2026-20079, CVE-2026-20316)이 국가 지원 해킹 그룹 및 랜섬웨어 조직 등 세 개의 서로 다른 위협 클러스터에 의해 동시에 악용되고 있다. Qilin 랜섬웨어 배포, Cyclops Blink 악성코드 이식, 자격증명 탈취 등 다양한 후속 공격이 확인됐다.
CVE-2026-20079는 CVSS 10.0의 최고 심각도로, 인증 없이 원격에서 루트 권한을 획득할 수 있다. CVE-2026-20316은 저권한 계정으로 민감 데이터에 접근 가능하며, 다른 취약점과 연계 시 권한 상승으로 이어진다. 피해 범위는 자격증명 탈취, 관리 장치 설정 유출, 랜섬웨어 암호화까지 광범위하다.
FMC 웹 인터페이스의 인증 우회 결함(CVE-2026-20079)과 하드코딩된 비밀번호(CVE-2026-20316)가 근본 원인이다. 두 취약점 모두 비인증 원격 공격자가 악용 가능하며, 조합 시 시너지 효과로 피해가 배가된다.
Cisco는 두 취약점에 대한 핫픽스를 이미 배포했으며 다음 주 종합 보안 강화 릴리스를 예고했다. CISA는 CVE-2026-20079를 KEV에 등재하고 미국 연방 기관에 2026년 9월 12일까지 패치 적용을 의무화했다. CVE-2026-20316은 2026년 7월 말에 이미 KEV에 등재된 바 있다.
Cisco FMC를 운영 중인 모든 조직은 즉시 Cisco가 제공하는 핫픽스를 적용해야 한다. 패치 전 임시 조치로 FMC 웹 인터페이스에 대한 외부 접근을 차단하고, 내부 접근 로그를 점검해 이미 침해가 발생했는지 확인하는 것이 필요하다.
본문
Ravie Lakshmanan 2026년 9월 11일 | 취약점 / 악성코드
Cisco가 랜섬웨어 및 국가 지원 공격과 연계된 세 개의 서로 다른 위협 클러스터가 최근 패치된 Secure Firewall Management Center(FMC) 취약점 두 가지를 악용하고 있다고 공개했다.
공격에는 CVE-2026-20079(CVSS 점수: 10.0)가 활용되고 있다. 이는 FMC 소프트웨어 웹 인터페이스의 인증 우회 취약점으로, 비인증 원격 공격자가 인증을 우회하고 스크립트 파일을 실행해 운영 체제의 루트 권한을 획득할 수 있다.
두 번째로 악용 중인 취약점은 CVE-2026-20316(CVSS 점수: 5.3)으로, 비인증 원격 공격자가 낮은 권한의 계정으로 취약한 시스템에 로그인해 민감한 데이터에 접근할 수 있다. 또한 다른 Cisco Secure FMC 취약점과 연계해 권한을 상승시키는 데 사용될 수 있다.
Cisco Talos는 국가 지원 위협 행위자 및 사이버범죄 조직과 연관된 FMC 인스턴스의 침해 후 활동 클러스터 세 가지를 식별했다고 밝혔다. 내용은 다음과 같다.
- UAT-12197: CVE-2026-20079를 악용해 JSP 기반 웹 셸과 Java Archive(JAR) 기반 명령 실행기를 배포하고, 내부 데이터베이스를 조회해 사용자 인증 데이터 및 자격증명을 탈취했다.
- UAT-11823: CVE-2026-20079와 CVE-2026-20316을 모두 악용해 Netcat 기반 리버스 셸, 관리 장치 설정을 수집하는 배시(bash) 스크립트 두 개, 그리고 러시아 국가 지원 해킹 그룹 Sandworm이 사용한 것으로 알려진 모듈형 ELF 임플란트 Cyclops Blink의 변종을 배포했다.
- UAT-11988: 랜섬웨어 조직으로, CVE-2026-20316을 초기 침투 수단으로 활용한 후 FMC에 내장된 정상 도구를 '자원 활용 공격(LotL, Living-off-the-Land)' 방식으로 사용해 피해자 환경에 대한 광범위한 정찰을 수행했다. 이어 터널링 도구를 배포해 네트워크 접근을 유지하고, 자격증명을 수집하고, 암호화 대상 단말 목록을 작성하고, 보안 도구를 종료한 뒤 선택된 시스템에 Qilin 랜섬웨어를 배포했다.
Cisco는 "CVE-2026-20079 및 CVE-2026-20316에 대해 이미 배포된 핫픽스를 해당 소프트웨어 버전에 즉시 적용할 것을 강력히 권고한다"고 밝히며, 내부적으로 발견된 다양한 취약점에 대한 종합 보안 강화 릴리스를 다음 주 배포할 예정이라고 덧붙였다.
이번 발표는 미국 사이버보안 및 인프라 보안국(CISA)이 CVE-2026-20079를 실제 악용이 확인된 취약점 목록(KEV)에 등재하고, 연방 민간 행정부(FCEB) 기관에 2026년 9월 12일까지 패치 적용을 의무화하는 조치가 내려진 시점에 공개됐다. 두 번째 취약점인 CVE-2026-20316은 2026년 7월 말에 이미 KEV에 등재된 바 있다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
