Cisco Secure Email Gateway 취약점, 실제 악용 확인 — 루트 명령 실행 가능

한 줄 요약

Cisco의 이메일 보안 장비인 Secure Email Gateway에서 심각한 취약점(CVE-2026-76461)이 발견되었으며, 실제 공격에 이미 악용되고 있습니다. 이 취약점은 인증 없이도 원격에서 악성 이메일 하나만으로 시스템을 완전히 장악(루트 권한 명령 실행)할 수 있어 위험도가 매우 높습니다(CVSS 10점 만점에 9.8점). 공격자는 악성 SQL 구문이 담긴 이메일을 장비로 보내는 방식으로 침투하며, 성공 시 공격 흔적까지 지울 수 있습니다. Cisco는 취약한 버전별 패치를 배포했고 우회 방법은 없으므로 즉시 업데이트가 필요합니다. 미국 사이버보안청(CISA)도 이 취약점을 실제 악용 목록(KEV)에 등재하고 연방기관에 9월 17일까지 패치 적용을 의무화했습니다.

사건

Cisco Secure Email Gateway의 이메일 파싱 로직에서 SQL 인젝션(SQL Injection) 취약점(CVE-2026-76461)이 발견되어 실제 공격에 악용 중임이 확인됐다. 물리적·가상 장비 모두 영향을 받으며, 장비 설정과 무관하게 취약하다.

영향

인증되지 않은 원격 공격자가 악성 이메일 전송만으로 운영체제 루트 권한의 임의 명령 실행이 가능하다. CVSS 점수 9.8로, 공격 성공 시 공격 흔적과 침해 지표(IoC)를 공격자가 직접 삭제하거나 은닉할 수 있어 사후 분석이 어렵다.

원인

AsyncOS 소프트웨어의 이메일 파싱 로직에서 입력값 검증이 불충분하여, 악성 SQL 구문이 포함된 이메일이 필터링 없이 처리된다.

대응

Cisco는 영향받는 버전(15.5 이하, 16.0, 16.5)별 패치를 배포했다. 우회 방법은 없으며 최신 버전으로 업데이트하는 것이 유일한 해결책이다. CISA는 KEV에 등재하여 미국 연방기관에 2026년 9월 17일까지 패치 적용을 의무화했다.

실무 포인트

즉시 해당 패치 버전으로 업그레이드해야 한다. 장비 내 mail_logs에서 'COPY.*TO PROGRAM' 같은 의심 SQL 구문을 검색하고, 장비 외부의 네트워크·방화벽 로그에서 외부 IP로의 비정상적인 업로드·다운로드 여부도 교차 확인해야 한다.

본문

Ravie Lakshmanan · 2026년 9월 15일 · 취약점 / 네트워크 보안

Cisco는 AsyncOS Software for Cisco Secure Email Gateway에 영향을 미치는 새로운 치명적 취약점이 실제 환경에서 적극적으로 악용되고 있다고 경고했다.

CVE-2026-76461로 추적되는 이 취약점의 CVSS 점수는 10점 만점에 9.8점이다. 이메일 파싱 로직의 불충분한 검증으로 인해, 인증되지 않은 원격 공격자가 운영체제(OS) 상에서 루트 권한으로 임의 명령을 실행할 수 있는 것으로 설명됐다.

"공격자는 악성 SQL 구문이 포함된 조작된 이메일 메시지를 취약한 장비를 통해 전송함으로써 이 취약점을 악용할 수 있다"고 Cisco는 월요일 공지에서 밝혔다. "공격에 성공하면 임의의 SQL 구문을 실행하여 운영체제 상에서 루트 권한으로 명령을 실행할 수 있게 된다."

이 취약점은 장비 설정에 관계없이 물리적·가상 Cisco Secure Email Gateway 모두에 영향을 준다. 다만 Cisco는 Secure Email and Web Manager 및 Secure Web Appliance 등 다른 제품은 영향을 받지 않는다고 밝혔다.

Cisco AsyncOS for Cisco Secure Email Gateway 소프트웨어의 다음 버전에 대한 수정 버전이 제공된다.

15.5 이하 (15.5.5-0141에서 수정)
16.0 (16.0.4-302에서 수정)
16.5 (16.5.0-780에서 수정)

최신 지원 버전으로 업데이트하는 것 외에 다른 우회 방법은 없다. Cisco는 이달 들어 이 취약점의 실제 악용 사례를 인지했다며, 다음과 같은 침해 지표(IoC, Indicators of Compromise)를 공유했다.

mail_logs를 검토하여 의심스러운 SQL 구문을 찾는다.
장비가 클러스터의 일부인 경우, 각 클러스터 장비의 로그를 검토한다.
잠재적으로 악성인 SQL 구문을 탐지하려면 다음 명령을 실행할 것을 권고한다: cisco-esa> grep -i "COPY.*TO PROGRAM" [IronPort Text Mail Logs 로그 이름 - 기본값: mail_logs]
출력 결과에 항목이 하나라도 있으면 악성 활동의 징후일 수 있다.

Cisco는 또한 악성 활동이 탐지된 Cisco Secure Email Cloud 장비를 보유한 고객에게 직접 연락을 취했다고 밝혔으며, 공격 규모는 공개하지 않았다.

"이 취약점을 성공적으로 악용하면 위협 행위자가 루트 권한으로 명령을 실행할 수 있게 된다"고 회사 측은 경고했다. "이러한 수준의 접근 권한으로 인해 위협 행위자가 악용 증거와 침해 지표를 제거하거나 숨길 수 있다."

따라서 관리자는 영향받은 장비 외부의 네트워크 로그와 방화벽 로그를 교차 확인하여, 영향받은 장비에서 외부 IP 주소로 시작된 예상치 못한 업로드나 악성 IP 주소로부터의 다운로드 등 잠재적인 이상 활동을 파악할 것을 권고한다.

이번 사태로 인해 미국 사이버보안 및 인프라 보안국(CISA, Cybersecurity and Infrastructure Security Agency)은 CVE-2026-76461을 알려진 악용 취약점(KEV, Known Exploited Vulnerabilities) 목록에 추가했으며, 연방 민간 행정부(FCEB, Federal Civilian Executive Branch) 기관들은 2026년 9월 17일까지 패치를 적용해야 한다.

대규모 자격 증명 공격, Fortinet VPN을 표적으로 삼아

이번 공개는 Arctic Wolf가 2026년 8월 하순 인터넷에 노출된 Fortinet VPN 어플라이언스를 표적으로 한 대규모 자격 증명 공격을 탐지했다고 밝힌 지 며칠 만에 나왔다. 이 대용량 활동은 2026년 8월 26일부터 28일에 걸쳐 미국 내 여러 고객 환경에서 두 차례의 지속적인 파도 형태로 발생했으며, 수천만 건의 인증 실패를 발생시켰다.

"위협 행위자는 조직 고유의 사용자 이름, 법인 이메일 주소, 제휴사 계정, 일반적인 관리자 ID를 사용했는데, 이는 사전에 수집되거나 열거된 신원 정보에 대한 접근이 있었음을 나타낸다"고 보안 연구원 Kyle Siddall은 밝혔다.

"시도된 사용자 이름에는 직원 이름, 법인 이메일 주소, 제휴사 ID, 표적 조직과 관련된 일반적인 관리자 계정이 포함됐다. 일반적인 사용자 이름 무작위 대입(spraying) 방식이 아닌 표적화된 신원 선택은 사전에 수집되거나 열거된 신원 정보에 대한 접근이 있었음을 나타낸다."

한 관측 사례에서는 IP 주소 "158.94.211[.]14"에서 발생한 Fortinet VPN 인증 성공 이후 해당 환경에서 악성 활동이 뒤따랐다.