Cisco, SD-WAN Manager의 치명적 인증 우회 취약점 실제 악용 경고

한 줄 요약

Cisco가 자사의 SD-WAN 관리 시스템인 Catalyst SD-WAN Manager에서 로그인 없이도 관리자 권한을 가로챌 수 있는 심각한 취약점(CVE-2026-76504)이 실제로 공격에 악용되고 있다고 경고했습니다. 이 취약점은 CVSS 9.8점(10점 만점)의 매우 위험한 등급으로, 공격자는 별도 계정 없이도 특수하게 조작한 요청 하나만으로 인증을 우회해 관리자 API에 접근할 수 있습니다. Cisco는 이미 수정된 버전을 배포했으며 별도의 임시 해결책(workaround)은 없다고 밝혔습니다. 이 취약점은 지난 5월과 6월에 발견된 다른 Cisco SD-WAN 취약점 3건과는 별개이며, 올해 CISA(미국 사이버보안 담당 기관)의 실제 악용 취약점 목록에 등재된 Cisco SD-WAN 관련 취약점만 벌써 8건에 달합니다. 인터넷에 노출된 관리 시스템을 운영 중인 기업은 즉시 업데이트하고 침해 흔적을 점검해야 합니다.

사건

Cisco Catalyst SD-WAN Manager의 인증 우회 취약점(CVE-2026-76504, CVSS 9.8)이 실제 공격에 악용되고 있음을 Cisco가 확인했다.

영향

로그인 계정이 전혀 없는 공격자도 조작된 HTTP 요청 하나로 관리자(admin, netadmin 권한) 자격으로 API에 접근해 시스템을 완전히 장악할 수 있다.

원인

Manager API가 HTTP 요청의 URI 인코딩을 잘못 처리해, 특정 API 엔드포인트로만 접근을 제한하려던 인증 규칙을 우회할 수 있다.

대응

Cisco는 수정 버전을 배포했으며 별도 우회책은 없다고 밝혔다. 인터넷 노출을 차단하고 신뢰된 호스트만 접근을 허용하며 방화벽 뒤에 배치할 것을 권고한다.

실무 포인트

로그 파일(serviceproxy-access.log, vmanage-server.log)에서 j_security_check 관련 비정상 접근 흔적을 점검하고, 침해가 의심되면 업그레이드 전에 admin-tech 파일을 수집해 Cisco TAC에 문의해야 한다.

본문

Cisco는 9월 30일 발표한 보안 권고문에서, 기업들이 자사의 Cisco SD-WAN 네트워크를 관리하는 데 쓰는 시스템인 Cisco Catalyst SD-WAN Manager의 심각한 취약점을 공격자들이 악용하고 있다고 밝혔습니다.

이 취약점 CVE-2026-76504는 로그인 계정이 없는 원격 공격자도 Manager의 API를 관리자(admin) 사용자로 사용할 수 있게 만듭니다. 수정된 버전이 배포되어 있으며, 별도의 우회책(workaround)은 없습니다.

CVE-2026-76504는 CVSS 점수 9.8(10점 만점)을 기록했습니다. 이 취약점은 Manager API 중 로그인 세션을 처리하는 부분에 있습니다.

Manager는 HTTP 요청의 URI 인코딩을 잘못 처리합니다. 이 때문에 조작된 요청 하나로 특정 API 엔드포인트에 대한 접근을 제한하려던 인증 규칙을 우회할 수 있습니다.

공격자는 자격 증명이 전혀 필요 없으며, 단지 그 요청을 Manager의 API로 보낼 수 있는 능력만 있으면 됩니다. Cisco에 따르면 인터넷에 노출된 Manager는 침해될 위험이 있습니다.

기본 설정상 admin 사용자는 netadmin 역할을 가지며, 이 역할은 장치에서 모든 작업을 수행할 수 있습니다.

Cisco는 자사 제품보안사고대응팀(PSIRT)이 2026년 9월에 "이 취약점에 대한 실제 악용을 인지했다"고 밝혔습니다. 이 취약점은 Cisco 기술지원센터(TAC)가 지원 사례를 처리하던 중 발견되었습니다.

권고문에는 몇 명의 고객이 공격받았는지, 공격이 언제 시작되었는지, 누가 공격을 수행했는지, 공격자가 확보한 접근 권한으로 무엇을 했는지는 언급되어 있지 않습니다.

업그레이드가 필요한 대상

이 취약점은 구성 방식과 무관하게 SD-WAN Manager 전체에 영향을 미칩니다. 다른 제품은 영향받는 것으로 명시되지 않았습니다. 각 릴리스 트레인별 최초 수정 버전은 다음과 같습니다:

릴리스 트레인 / 최초 수정 버전 20.9 이전 / 수정된 버전으로 마이그레이션 필요 20.9 / 20.9.10.1 20.12 / 20.12.8.2 20.15 / 20.15.6.1 20.18 / 20.18.4.1 26.1 / 26.1.2.1 26.2 / 26.2.1

CVE-2026-76504는 앞서 수정된 3건의 Cisco SD-WAN 취약점, 즉 5월의 CVE-2026-20182와 6월의 CVE-2026-20245, CVE-2026-20262와는 별개입니다.

권고문들을 비교해보면, 해당 취약점들에 대한 수정 버전은 모두 위 표의 버전보다 이전 것임을 알 수 있습니다. 따라서 5월이나 6월 패치를 위해 마지막으로 업그레이드한 Manager도 이번 업데이트가 필요합니다.

이 표에는 Cisco의 5월 권고문에 있던 20.10, 20.11, 20.13, 20.14, 20.16 릴리스 트레인이 포함되어 있지 않습니다. 또한 5월과 6월 권고문에 명시되었던 두 가지 배포 유형인 Cisco SD-WAN Cloud-Pro와 Cisco SD-WAN for Government(FedRAMP)도 언급되지 않습니다.

Cisco SD-WAN Cloud(Cisco 관리형)는 이미 20.15.605 버전에서 수정되었으며, 이를 사용하는 고객은 별도 조치가 필요 없습니다.

온프레미스 Manager를 업그레이드하기 전까지, Cisco는 인터넷과 같은 보안되지 않은 네트워크로부터의 접근을 제한할 것을 권고합니다. 인터넷 접근이 필요한 경우에는 알려진 신뢰할 수 있는 호스트만 허용하고, 제어 구성요소를 방화벽 뒤에 배치해야 합니다.

Cisco Catalyst SD-WAN Cloud Hosted 환경에는 이미 이러한 완화 조치가 적용되어 있습니다. Cisco에 따르면 이 완화 조치는 테스트 환경에서 효과가 있었으며, 고객들은 자신의 네트워크에 적용하기 전에 그 영향을 평가할 것을 권고합니다.

Cisco의 SD-WAN 강화 가이드에서는 443, 22, 830 포트와 같은 관리용 인터페이스를 인터넷에 직접 노출해서는 안 된다고 명시하고 있습니다. Manager에 대한 HTTPS 접근은 점프 호스트나 관리용 서브넷을 통해서만 이루어져야 합니다.

침해 흔적 확인 방법

Cisco가 설명하는 침해 흔적은 Manager가 세션 기반 로그인에 사용하는 요청 경로인 j_security_check와 관련이 있습니다. Cisco의 예시에서는 이 경로의 문자 하나가 URI 인코딩되어 있어 /%6a_security_check 형태가 되며, 여기서 %6a는 문자 j를 나타냅니다.

알려지지 않았거나 승인되지 않은 IP 주소에서 발생한 j_security_check 항목을 확인해야 할 로그 파일은 다음 두 가지입니다:

파일: /var/log/nms/containers/service-proxy/serviceproxy-access.log
파일: /var/log/nms/vmanage-server.log, 특히 이름이 viptela-reserved-로 시작하는 사용자의 항목

viptela-reserved-로 시작하는 이름은 예약된 시스템 서비스 계정에 속합니다.

요청 내 어떤 문자든 인코딩될 수 있으므로, %6a는 하나의 예시일 뿐입니다. 동일한 항목이 정상 운영 중에도 나타날 수 있으므로, 오탐을 피하기 위해 각 일치 항목을 정상 활동과 대조해 확인해야 합니다.

Manager가 침해되었는지 판단하는 데 도움을 받으려면, 고객은 Cisco TAC에 Severity 3 사례를 열고 제목에 CVE-2026-76504를 포함시킬 수 있습니다. Cisco는 출력 파일을 검토할 수 있도록 먼저 Manager에서 request admin-tech를 실행할 것을 요청합니다.

권고문에는 탐지 규칙이 포함되어 있지 않으며, 업그레이드만으로 이미 접근 권한을 확보한 공격자가 제거되는지도 명시되어 있지 않습니다. 5월 취약점과 6월의 첫 번째 취약점에 대한 Cisco의 권고문에서는 업데이트만으로는 확인된 침해가 해결되지 않는다고 밝힌 바 있습니다. 이들 권고문은 고객들에게 업그레이드 전에 admin-tech 파일을 수집할 것을 안내했습니다.

CVE-2026-76504는 올해 악용된 것으로 표시된 일련의 Cisco SD-WAN 취약점들에 이어 발생했습니다. 9월 30일 기준, 미국 사이버보안 및 기반시설보안국(CISA)의 실제 악용 취약점(Known Exploited Vulnerabilities) 목록에는 2026년에 추가된 Cisco SD-WAN 관련 취약점이 8건 등재되어 있습니다.