Cisco가 Nexus 9000 스위치 10개 모델에서 인증 없이 원격으로 루트(최고 관리자) 권한 코드를 실행할 수 있는 심각한 취약점(CVE-2026-20212, CVSS 9.8)을 공개하고 패치를 배포했습니다. 이 취약점은 스위치의 TCP 포트 43210·43211이 기본 설정 그대로 외부에 열려 있어, 공격자가 해당 포트에 접근만 할 수 있으면 악성 입력으로 루트 권한 명령을 실행하거나 장비를 강제 재부팅시킬 수 있습니다. 같은 날 IOS XR 라우터에서도 CVSS 9.8짜리 2개를 포함한 7개 CVE가 묶음으로 공개됐으며, 111개 릴리스 중 93개는 먼저 버전 업그레이드 후 SMU(소프트웨어 유지보수 업데이트)를 적용해야 합니다. 중국 연계 위협 그룹 Fire Ant가 IOS XR 라우터에 전용 임플란트(악성 프로그램)를 심어 로그를 숨기고 패킷을 탈취한 사실도 함께 보고됐습니다. Nexus 9000 담당자는 즉시 iACL(인프라 접근 제어 목록)로 해당 포트를 차단하고, Cisco Software Checker로 패치 대상 버전을 확인해야 합니다.
Cisco Nexus 9000 10개 모델에서 인증 없이 원격으로 루트 권한 코드 실행이 가능한 CVE-2026-20212(CVSS 9.8)가 공개됐다. 같은 날 IOS XR에서도 CVSS 9.8 2개 포함 7개 CVE가 묶음으로 발표됐다.
영향받는 NX-OS 릴리스는 10.3(1)~10.6(3s) 총 45개이며, IOS XR은 111개 릴리스가 영향을 받는다. 공격 성공 시 루트 권한 코드 실행 또는 장비 강제 재부팅이 가능하다. 중국 연계 위협 그룹 Fire Ant가 IOS XR 라우터에 임플란트를 심어 시스로그를 억제하고 패킷을 탈취한 사례가 별도로 보고됐다.
Nexus 9000 취약점은 TCP 포트 43210·43211이 기본 VRF(가상 라우팅 및 포워딩) 인스턴스에 제한 없이 바인딩되어 외부에서 직접 접근 가능한 상태로 노출된 것이 원인이다. IOS XR은 메모리 안전성·접근 제어·인증 결여 등 여러 CWE 범주의 결함이 묶여 있다.
Nexus 9000: iACL로 43210·43211 포트 차단, Live Protect shield lp00031 임시 적용, Cisco Software Checker로 패치 버전 확인 후 업그레이드. IOS XR: 릴리스별 SMU 적용 또는 향후 고정 릴리스 26.2.2·26.3.1로 업그레이드. 표에 없는 릴리스 사용자는 TAC(기술지원센터) 케이스 개설 필요.
Nexus 9000 해당 모델 운영자는 즉시 iACL로 TCP 43210·43211 포트를 차단하고 Software Checker로 패치 버전을 확인해야 한다. IOS XR 운영자는 현재 릴리스에 해당하는 SMU를 적용하거나 26.2.2/26.3.1 이상으로 업그레이드해야 하며, 93개 릴리스는 SMU 적용 전 버전 업그레이드가 선행돼야 한다.
본문
Cisco가 10개의 Silicon One 기반 Nexus 9000 스위치에 영향을 미치는 심각한 보안 결함에 대한 패치를 공개했다. 이 취약점은 인증되지 않은 원격 공격자가 루트 권한으로 코드를 실행할 수 있게 하며, 동시에 7개의 포괄 CVE를 묶은 IOS XR 하드닝 릴리스도 함께 발표됐다. 이 중 2개는 CVSS 9.8로 평가됐으며, IOS XR 어느 버전에도 적용 가능한 워크어라운드는 존재하지 않는다.
CVE-2026-20212(CVSS 점수: 9.8)로 추적되는 Nexus 취약점은 제한 없는 IP 주소에 바인딩되어 TCP 포트 43210 및 43211이 기본 레이어 3 VRF(가상 라우팅 및 포워딩) 인스턴스에서 접근 가능한 상태로 노출되는 문제다.
해당 포트 중 하나로 스위치 주소에 접근할 수 있는 공격자는 서비스에 직접 연결할 수 있다. 해당 서비스에 전송된 조작된 입력은 루트 권한으로 코드로 실행된다. 공격 시도 시 S1HAL 프로세스가 충돌하고 장치가 재부팅될 수도 있다.
Cisco는 9월 2일 공개 기준으로 이 취약점의 악의적 악용 사례를 인지하지 못했다고 밝혔다. 고정 릴리스 표는 별도로 게시하지 않았으며, 고객에게 Software Checker를 안내하는 한편 두 포트를 차단하는 인프라 접근 제어 목록(iACL)과 임시 Live Protect shield를 임시 조치로 제공하고 있다.
Cisco는 IOS XR7(LNT) 사용자를 포함한 IOS XR 고객에게 SMU(소프트웨어 유지보수 업데이트)가 포함된 릴리스로 업그레이드한 뒤 SMU를 적용할 것을 권고한다.
Cisco의 정보보안 부사장 Russ Smoak은 내부에서 발견된 버그를 포괄 CVE로 묶어 월 2회 공개하는 모델을 발표한 6월 블로그 게시물에서 "동시에, 공개와 악용 사이의 창이 사실상 닫혔다"고 말했다.
Cisco는 Nexus 9000 권고문에서 show module 명령 출력으로 확인 가능한 다음 제품 식별자(PID) 목록을 제시했다 -
- N9324C-SE1U (Nexus Smart Switch)
- N9348Y2C6D-SE1U (Nexus Smart Switch)
- N9364E-SG2-O
- N9364E-SG2-Q
- N9396T12C-SE1
- N9348Y12C-SE1
- N9396Y12C-SE1
- N9336C-SE1
- N9K-C9804
- N9K-C9808
다른 Nexus 9000 모델, ACI(Application Centric Infrastructure) 모드로 동작하는 Nexus 9000 패브릭 스위치, Nexus 3000 및 7000 제품군은 영향을 받지 않는다.
The Hacker News는 9월 3일 CVE 프로그램 레코드를 통해 Cisco가 NX-OS 릴리스 10.3(1)부터 10.6(3s)까지 총 45개를 영향받는 버전으로 등재했음을 확인했다. 권고문 자체에서는 이 범위를 Software Checker에 위임하고 있다.
고정 릴리스가 확인될 때까지 Cisco는 다음을 제공한다 -
- 업그레이드: Cisco Software Checker가 지정하는 릴리스로 업그레이드. shield의 릴리스 노트에 따르면 NX-OS 10.6(4) 이상으로 업그레이드하면 운영 모드가 N/A로 전환된다.
- iACL: 필요한 관리·컨트롤 플레인 트래픽만 허용하거나, 로컬에 구성된 IP 주소의 목적지 포트 43210 또는 43211로의 TCP 패킷을 명시적으로 차단. 테스트 환경에서 검증 필요.
- Live Protect shield lp00031: NX-OS 10.6(3)에서만 지원되는 임시 완화책으로, 두 번째 shield 패키지를 통해 두 Smart Switch의 10.6(3s)도 지원. Nexus 9804와 9808은 미지원이며, SSH, Telnet 또는 NX-API 접근이 필요하다.
IOS XR 하드닝 릴리스, 모든 버전 대상
IOS XR 릴리스는 위험 기반 공개 FAQ의 규칙에 따라 수정된 버그의 각 CWE(공통 취약점 열거) 버킷마다 CVE 하나를 할당하고, 해당 버킷에서 가장 심각한 결함 점수를 부여한다.
메모리 안전성 및 리소스 수명 버그를 다루는 CVE-2026-20274와, 중요 기능에 대한 인증 누락 및 부적절한 인증서 검증을 포함한 접근 제어 버그를 다루는 CVE-2026-20279는 각각의 레코드에서 CVSS 9.8 상한을 기록했다.
나머지 5개인 CVE-2026-20275부터 20278, CVE-2026-20280은 최고 8.2에서 8.8 사이다.
IOS XR 하드닝 권고문에 따르면 해당 취약점들은 장치 구성에 관계없이 모든 릴리스에 영향을 미친다.
Cisco 8000 Series, NCS 1010, NCS 540L, NCS 5700 Series를 포함하는 XR7(LNT) 플랫폼에는 모든 릴리스에 적용되는 전용 SMU가 있다.
Cisco는 "각 릴리스당 약 16개의 SMU가 제공될 수 있다"고 밝혔으며, 향후 릴리스 26.2.2와 26.3.1이 SMU 없이 최초로 고정되는 릴리스가 될 것이라고 했다. 표에 없는 릴리스를 사용하는 고객은 TAC(기술지원센터) 케이스를 개설해야 한다.
SMU는 다음 릴리스에서 이용 가능하다 -
- 6.9.2
- 7.3.2
- 7.9.2
- 7.9.21
- 7.10.2
- 7.11.2
- 7.11.21
- 24.2.2
- 24.2.21
- 24.4.2
- 25.2.21
- 25.4.1
- 25.4.2
- 26.1.2
- 26.2.1
24.1.2, 24.3.2, 25.1.2, 25.2.2에 대한 SMU는 향후 릴리스로 예정돼 있다.
권고문은 기능 영역별 SMU 식별자를 다음과 같이 나열했다 -
- 모든 XR7(LNT) 플랫폼 - CSCwv19790, 전 릴리스 적용.
- BGP - CSCwu14807; 7.10 이하 트레인 및 26.2.1은 취약하지 않음.
- crypto-ike - CSCwv19170.
- gRPC - CSCwt41683.
- IP-SLA - CSCwv19173.
- IS-IS - CSCwv45645 및 CSCwv19171; 25.4.2 및 NCS1001·NCS1004·NCS1010의 25.4.1에서는 CSCwu13271 및 CSCwv19171; 26.1.2와 26.2.1은 취약하지 않음.
- MPLS 및 MPLS-TE - CSCwv40753 및 CSCwu14825; 64비트 ARM Cisco 8000 Series 라우터의 24.2.21에서는 CSCwv19181 및 CSCwu14825.
- 멀티캐스트 - CSCwv19180 및 CSCwu08799.
- OSPF - CSCwv40741 및 CSCwv19171; 64비트 ARM Cisco 8000 Series 라우터의 24.2.21에서는 CSCwv19174 및 CSCwv19171.
- 세그먼트 라우팅, IPv6 전용 - CSCwu13268; 7.11.21·24.2.21·25.2.21·25.4.1에서는 CSCwv56312, 64비트 ASR 9000 Series 라우터의 7.9.21에서는 CSCwv56312, NCS1002의 7.3.2에서는 CSCwv56312; 26.1.2와 26.2.1은 취약하지 않음.
- 세그먼트 라우팅, IPv4 전용 또는 IPv4·IPv6 혼합 - CSCwv38342; 64비트 ARM Cisco 8000 Series 라우터의 24.2.21에서는 CSCwv19178.
- TCP Authentication Option - CSCwv36143; 64비트 ARM Cisco 8000 Series 라우터의 24.2.21에서는 CSCwu14817; 32비트 ASR 9000 Series 라우터의 6.9.2에서는 CSCww16661.
- ZTP(Zero Touch Provisioning) - CSCwu36622; 26.2.1은 취약하지 않음.
CSCwv19171은 IS-IS와 OSPF 모두에 적용된다고 Cisco는 밝혔다.
The Hacker News는 9월 3일 7개 CVE 레코드를 권고문과 교차 확인한 결과, Cisco가 영향받는다고 나열한 111개 IOS XR 릴리스 중 14개는 현재 SMU가 제공되고, 4개는 SMU 대기 중이며, 93개는 패치 적용 전 먼저 업그레이드가 필요하다는 것을 확인했다.
9월 2일 공개는 30일 내 세 번째 예정된 하드닝 릴리스다. 8월 5일 첫 번째 하드닝 공개에서 IOS XE 하드닝 릴리스와 Catalyst SD-WAN 릴리스가 제공됐고, 2주 후 Crosswork와 Secure Workload에 대한 CVSS 10.0 릴리스 2건이 뒤따랐다.
별도로, Cisco는 Secure Email 권고문에서 S/MIME(보안/다목적 인터넷 메일 확장) 복호화 결함인 CVE-2026-20354와 CVE-2026-20355(CVSS 점수: 5.9)를 공개했다. 이 취약점은 S/MIME이 구성된 AsyncOS 16.5.0 이하에서 게이트웨이 간 전달되는 메일의 평문을 중간자(machine-in-the-middle) 공격자가 복원할 수 있게 한다. 해당 쌍의 고정 릴리스는 버그 레코드에만 명시돼 있다.
같은 날 권고문에서는 Unified Communications Manager에 등록되고 Web Access가 활성화된(기본값: 비활성) Desk Phone 9800, IP Phone 7800·8800, Video Phone 8875 장치의 전화 서비스 거부(DoS) 버그인 CVE-2026-20281(CVSS 점수: 7.5)도 수정됐다. 모델에 따라 SIP 소프트웨어 5.0(1), 14.4(1)SR3, 14.4(1)SR4, 또는 11.0(6)SR8에서 수정이 제공된다.
이번 발표는 Sygnia가 2025년 처음 문서화된 중국 연계 위협 행위자 Fire Ant가 IOS XR 라우터에 전용 임플란트를 설치해 시스로그 전달을 억제하고, show 명령 출력을 필터링하며, 숨겨진 GRE(Generic Routing Encapsulation) 터널을 지원했다고 밝힌 지 6일 후에 이루어졌다.
해당 행위자는 라우터의 패킷을 캡처해 외부 FTP 서버로 업로드했으며, 중요 인프라와 연관된 연결 시스템에 대한 연결 시도 및 포트 스캔도 수행했다.
조사는 실행 중인 구성이나 커밋 이력으로 설명이 불가능한 터널 인터페이스가 라우터에서 활성화된 것을 발견하면서 시작됐다. Sygnia는 Fire Ant 보고서에서 이는 장치의 운영 상태가 "구성 및 감사 레코드와 일치한다고 더 이상 신뢰할 수 없음"을 시사한다고 밝혔다.
Sygnia는 행위자가 라우터에 최초 접근한 방법이나 특정 취약점을 밝히지는 않았다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
