Cisco가 Catalyst SD-WAN Manager(최대 6,000대의 SD-WAN 장비를 한 화면에서 관리하는 네트워크 관리 소프트웨어)에서 발견된 심각한 제로데이 취약점(CVE-2026-76504)에 대한 보안 업데이트를 발표했습니다. 이 취약점은 인증 없이도 공격자가 관리자 권한으로 시스템에 원격 접근할 수 있게 하는 결함으로, 2026년 9월부터 실제 공격에 악용되고 있는 것이 확인됐습니다. HTTP 요청의 URI 인코딩 처리 오류로 인해 특정 API 접근을 막아야 할 인증 규칙이 우회되는 방식입니다. Cisco는 공격에 사용된 침해 지표(IOC)와 로그 확인 방법을 공개하며 신속한 패치를 강력히 권고했습니다. 올해 들어 SD-WAN 제품군에서 실제 악용된 제로데이 취약점은 이번이 벌써 다섯 번째입니다.
Cisco Catalyst SD-WAN Manager에서 인증 우회를 통해 관리자 권한을 탈취할 수 있는 제로데이 취약점(CVE-2026-76504)이 실제 공격에 악용되고 있음이 확인됐다.
구성과 관계없이 모든 배포 환경이 영향을 받으며, 공격자는 인증 없이 원격으로 시스템에 관리자 권한으로 접근할 수 있다.
HTTP 요청의 URI 인코딩 처리 오류로 인해 특정 API 엔드포인트 접근을 제한해야 할 인증 규칙이 우회된다.
Cisco는 릴리스별 수정 버전(20.9.10.1, 20.12.8.2, 20.15.6.1, 20.18.4.1, 26.1.2.1, 26.2.1 등)으로의 업그레이드를 강력히 권고하며, 침해 여부 확인을 위한 로그 점검 방법과 Cisco TAC 지원 절차도 안내했다.
관리자는 즉시 패치를 적용하고, serviceproxy-access.log 및 vmanage-server.log에서 알 수 없는 IP로부터의 j_security_check 관련 기록(특히 URI 인코딩된 %6a 문자열)을 점검해야 한다.
본문
Cisco는 공격자들이 관리자 권한으로 권한을 상승시키기 위해 실제로 악용 중인 Catalyst SD-WAN Manager의 심각한 제로데이 취약점(CVE-2026-76504로 추적)을 해결하기 위한 보안 업데이트를 발표했습니다.
이전에는 SD-WAN vManage로 불렸던 Catalyst SD-WAN Manager는 관리자가 단일 대시보드에서 최대 6,000대의 SD-WAN 장비를 모니터링하고 관리할 수 있게 해주는 네트워크 관리 소프트웨어입니다.
"2026년 9월, Cisco PSIRT는 이 취약점에 대한 실제 악용을 인지했습니다"라고 회사는 수요일 경고했습니다. "Cisco는 고객들이 이 취약점을 해결하기 위해 수정된 소프트웨어 릴리스로 업그레이드할 것을 강력히 권고합니다."
CVE-2026-76504 취약점은 시스템 구성과 관계없이 모든 배포 환경에 영향을 미치며, API 세션 기반 인증 관리에서 발견되었고, 인증되지 않은 공격자가 관리자 권한으로 취약한 시스템에 원격으로 접근할 수 있게 합니다.
"이 취약점은 HTTP 요청에서 URI 인코딩의 부적절한 처리로 인한 것으로, 특정 API 엔드포인트에 대한 접근을 제한하기 위한 인증 규칙을 우회할 수 있게 합니다"라고 Cisco는 덧붙였습니다.
"공격자는 영향을 받는 시스템의 API에 조작된 HTTP 요청을 보냄으로써 이 취약점을 악용할 수 있습니다."
회사는 CVE-2026-76504를 악용하는 공격에 대한 추가 세부사항은 공유하지 않았지만, 위협 행위자들이 악성 요청에서 문자 "j"의 URI 인코딩된 형태인 %6a를 사용하고 있다고 경고하며 침해 지표(IOC)를 공유했습니다.
또한 잠재적으로 침해된 SD-WAN 시스템을 조사하는 보안팀에게 /var/log/nms/containers/service-proxy 아래에 있는 serviceproxy-access.log 파일과 /var/log/nms/ 아래에 있는 vmanage-server.log 파일에서 알 수 없거나 인가되지 않은 IP 주소로부터의 j_security_check 관련 항목을 확인하도록 권고했습니다.
"Cisco Catalyst SD-WAN Manager가 침해되었는지 판단하는 데 도움이 필요한 고객은 Cisco TAC에 사건을 접수할 수 있습니다"라고 회사는 덧붙였으며, 검토를 지원하기 위해 먼저 admin-tech 파일을 수집하도록 관리자들에게 권고했습니다.
Cisco Catalyst SD-WAN 릴리스 | 최초 수정 릴리스 20.9 이전 버전 | 수정된 릴리스로 마이그레이션 20.9 | 20.9.10.1 20.12 | 20.12.8.2 20.15 | 20.15.6.1 20.18 | 20.18.4.1 26.1 | 26.1.2.1 26.2 | 26.2.1
2026년 다섯 번째 실제 악용 SD-WAN 제로데이
CVE-2026-76504는 연초 이후 실제로 악용된 다섯 번째 SD-WAN 제로데이 취약점입니다.
Cisco는 2월에 SD-WAN Manager 정보 노출 보안 결함(CVE-2026-20127)을 패치했는데, 이는 최소 2023년부터 악용되어 온 것이었으며, 5월에는 최대 심각도의 Catalyst SD-WAN Controller 인증 우회 결함(CVE-2026-20182)을 패치되지 않은 장비에서 관리자 권한을 획득하기 위해 실제 제로데이 공격에서 악용된 것으로 태그했습니다.
더 최근인 6월 초에는, Cisco가 공격자들이 취약한 시스템에서 root 권한을 획득하기 위해 악용한 두 개의 추가 SD-WAN 제로데이(CVE-2026-20245 및 CVE-2026-20262)를 경고했습니다.
2021년 11월 이후, 미국 사이버보안 및 인프라보안국(CISA)은 90개의 Cisco 취약점을 실제 악용된 것으로 태그했으며, 여기에는 Cisco Catalyst SD-WAN Manager의 4건과 랜섬웨어 조직에 의해 악용된 7건이 포함됩니다.
같은 소식, 다른 매체 보도1건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
