기업 네트워크를 관리하는 콘솔(방화벽 관리 센터, 네트워크 접근 제어 플랫폼 등)을 노리는 사이버 공격이 2개월 연속 급증하고 있습니다. Cisco FMC(방화벽 관리 센터)의 두 취약점(CVE-2026-20079, CVE-2026-20316)이 연계 공격에 활용돼 Qilin 랜섬웨어 배포까지 이어졌으며, 국가 지원 해킹 조직과 랜섬웨어 갱단이 배후로 지목됐습니다. SonicWall SMA 1000, Cisco ISE, Check Point 등에서도 인증 없이 원격으로 시스템을 장악할 수 있는 취약점이 실제 공격에 쓰이고 있으며, CISA가 다수의 취약점을 실제 악용 확인 목록(KEV)에 등재했습니다. 관리 콘솔은 하위 장비 전체에 대한 제어권을 한꺼번에 가지기 때문에 공격자에게 특히 높은 가치를 지닙니다. 보안 담당자는 해당 제품의 패치를 즉시 적용하고 관리 인터페이스 접근을 엄격히 제한해야 합니다.
Cisco FMC 취약점 CVE-2026-20079(인증 우회)와 CVE-2026-20316이 연계 공격에 악용되어 Qilin 랜섬웨어가 배포됐으며, 국가 지원 행위자 및 랜섬웨어 갱단이 연루됐다. Cisco ISE CVE-2026-76460, SonicWall SMA 1000 CVE-2026-83548·83549, Check Point CVE-2026-85102 등도 실제 공격에 악용됐다.
관리 콘솔 장악 시 하위 방화벽·스위치·라우터 전체 제어, 자격증명 탈취, 내부 정찰, 랜섬웨어 배포까지 연쇄 피해 가능. SonicWall 취약점 체이닝으로 인증 없는 원격 코드 실행 달성.
관리 인터페이스에 인증 우회, 하드코딩된 패스워드, OS 명령 인젝션 등 근본적인 설계 결함이 존재. Linux 커널 취약점(CVE-2026-31431) 하나가 공급망을 통해 6개 벤더 19개 제품 권고로 확산됨.
Cisco, SonicWall, Check Point 등 벤더들이 패치·핫픽스 배포 중. CISA가 주요 취약점을 KEV 카탈로그에 등재하며 긴급 조치 권고. SonicWall은 침해된 장비의 현장 정리 대신 재이미징 또는 재배포를 권고.
관리 콘솔·오케스트레이션 플랫폼을 고가치 표적으로 인식하고 패치를 최우선 적용해야 한다. 인프라 접근제어 목록(ACL)으로 관리 인터페이스에 대한 원격 접근을 제한하면 일부 취약점의 원격 악용을 방어할 수 있다.
본문
공격자들은 기업 인프라를 제어하는 데 쓰이는 관리 시스템을 점점 더 집중적으로 노리고 있으며, 일부 심각한 취약점은 벤더가 공개하기 전이나 공개 직후에 실제 악용이 확인됐습니다.
이는 Eclypsium의 InfraTrust Pulse 9월호에서 보고된 내용입니다. InfraTrust Pulse는 네트워크 장비, 서버, 펌웨어, 칩, 기타 인프라에 영향을 주는 보안 권고를 매월 추적하는 보고서입니다.
8월 25일부터 9월 17일 사이, InfraTrust는 17개 벤더에서 발행된 158개의 신규 보안 권고를 추적했으며, 총 1,699개의 취약점이 포함됩니다.
해당 권고 중 42개가 심각(Critical)으로 평가됐고, 8개는 CVSS 최고 점수인 10.0을 받았으며, 71개는 인증 없이 원격으로 악용 가능한 것으로 나타났습니다.
공개된 권고 중 다섯 건에는 결국 CISA의 실제 악용 확인 취약점(KEV) 카탈로그에 등재된 취약점이 포함되어 있었습니다.
그러나 InfraTrust는 이번 달 가장 주목할 만한 트렌드는 가장 위험한 취약점들이 나타나는 위치라고 밝혔습니다.
공격자들은 네트워크 장비를 구성·제어하는 데 쓰이는 관리 시스템을 점점 더 많이 침해하고 있으며, 이를 통해 해커들이 장악한 장비 전체를 완전히 통제할 수 있게 됩니다.
"이달로 2개월 연속, 인프라 부문에서 악용이 확인된 최고 가치 취약점이 관리 소프트웨어에서 발생하고 있습니다. 이러한 플랫폼을 고가치 표적으로 인식하고 그에 맞게 패치, 모니터링, 보안 강화 조치를 적용하십시오."라고 보고서는 밝혔습니다.
인프라 관리 시스템 표적화
보고서에서 강조된 가장 심각한 취약점 중 하나는 CVE-2026-20079로, Cisco Secure Firewall Management Center(FMC)의 최대 심각도 인증 우회 취약점입니다.
이 결함은 인증되지 않은 공격자가 FMC 웹 인터페이스로 조작된 HTTP 요청을 전송해 취약한 장비에서 root 권한으로 스크립트 및 명령을 실행할 수 있게 합니다.
Cisco는 9월 9일 해당 취약점이 실제로 악용되고 있음을 확인하면서, 자사의 제품보안대응팀(Product Security Incident Response Team)이 8월에 공격을 인지했다고 권고를 업데이트했습니다. CISA는 같은 날 이 결함을 KEV 카탈로그에 추가했습니다.
그러나 BleepingComputer는 이전에 7월 29일자 보도에서 Cisco가 CVE-2026-20079 권고를 핫픽스 및 침해지표(IoC)와 함께 업데이트했으며, 해당 지표가 또 다른 FMC 취약점 CVE-2026-20316을 악용하는 공격과도 연관되어 있다고 보도한 바 있습니다.
당시 Cisco는 두 취약점에 동일한 /var/tmp/license.tmp 지표를 게시했음에도 불구하고 CVE-2026-20079의 악의적 악용은 인지하지 못했다고 밝혔습니다.
이후 두 FMC 취약점은 연계 공격에 활용된 것으로 확인됐습니다.
Cisco Talos는 이 활동을 UAT-12197, UAT-11823, UAT-11988로 추적 중인 세 개의 위협 클러스터와 연결지었으며, 여기에는 국가 지원 행위자와 랜섬웨어 갱단이 포함됩니다.
공격자들은 내장된 FMC 도구를 정찰에 활용하고, 터널링 유틸리티를 배포하며, 침해된 시스템에서 자격증명을 수집하고, 일부 경우에는 최종적으로 Qilin 랜섬웨어 암호화 도구를 배포하는 것이 관찰됐습니다.
Sophos Counter Threat Unit은 침해된 FMC 어플라이언스에서 발견된 "timezone_check"라는 Linux 임플란트를 분석해 Sandworm 위협 그룹과 연관된 악성코드인 Cyclops Blink의 변종으로 식별했습니다.
Cisco는 9월 16일에 FMC 취약점 6개를 추가로 공개했으며, 여기에는 FMC가 관리되는 방화벽과 통신하는 데 사용하는 sftunnel 연결에 영향을 주는 결함도 포함됩니다.
또 다른 관리 플랫폼인 Cisco Identity Services Engine(ISE)도 다수의 심각한 취약점에 노출됐습니다.
Cisco는 9월 16일 ISE 권고를 공개했으며, CVSS 최고 점수 10.0을 받은 취약점 세 개가 포함됐습니다.
그중 하나인 CVE-2026-76460은 API의 인증 우회 취약점으로, 인증되지 않은 원격 공격자가 root 권한으로 명령을 실행할 수 있게 합니다.
CISA는 Cisco가 공개한 당일 이미 공격에 악용되고 있던 해당 결함을 KEV 카탈로그에 추가했습니다.
Cisco는 별도의 우회 방법은 없지만, 인프라 접근제어 목록(ACL)을 사용해 어플라이언스 접근을 제한하면 원격 악용을 방지할 수 있다고 밝혔습니다.
InfraTrust는 이 트렌드가 Cisco에 국한되지 않는다고 말합니다.
9월 보고 기간 동안 HPE Fabric Composer, EdgeConnect SD-WAN Orchestrator, NVIDIA Unified Fabric Manager, Dell SmartFabric Manager, SonicWall NSM On-Prem, Arista 관리 인터페이스에서도 취약점이 발견됐습니다.
"이 중 어느 것도 방화벽, 스위치, 라우터, 또는 패브릭이 아닙니다."라고 보고서는 말합니다.
"각각은 그것들을 구성하고, 자격증명을 보유하며, 동시에 모두에 대한 변경 제어 경로를 제공하는 콘솔입니다."
추가적인 심각한 인프라 취약점
보고서는 또한 연계 공격에 활용된 SonicWall SMA 1000의 실제 악용 취약점 두 가지를 강조합니다.
CVE-2026-83548은 Appliance Work Place 인터페이스의 CVSS 10.0 인증 없는 SSRF(서버 측 요청 위조) 취약점이며, CVE-2026-83549는 Appliance Management Console의 OS 명령 인젝션 취약점입니다.
InfraTrust는 이 취약점들을 연계하면 인증 없이 원격 코드를 실행할 수 있다고 밝혔습니다.
CISA는 9월 2일 두 취약점을 모두 KEV 카탈로그에 추가했으며, SonicWall은 이들이 공격에 악용되고 있음을 확인했습니다.
벤더는 고객들에게 최신 핫픽스로 업그레이드하고, 시스템에서 침해 징후를 조사하며, 침해된 설치를 현장에서 정리하려 하지 말고 물리적 어플라이언스를 재이미징하거나 가상 어플라이언스를 재배포할 것을 권고합니다.
Check Point도 인증이 필요 없는 세 가지 심각한 원격 악용 가능 취약점을 공개했습니다.
여기에는 원격 접속 및 사이트 간 VPN에서 원격 코드 실행(RCE)으로 이어질 수 있는 인증 우회 취약점 CVE-2026-85102와, 역시 원격 코드 실행으로 이어질 수 있는 메모리 손상 취약점 CVE-2026-85103이 포함됩니다.
네덜란드 국가사이버보안센터(NCSC, Nationaal Cyber Security Centrum)는 악용이 임박했다고 경고하며 관리자들에게 보안 업데이트 설치를 촉구했습니다.
세 번째 취약점인 CVE-2026-91843은 인증되지 않은 로그인 과정의 결함으로, 공격자가 여러 Check Point 관리 및 로깅 서버에서 root 권한으로 코드를 실행할 수 있게 합니다.
Arista는 9월 9일에 34개의 보안 권고를 게시했으며, EOS 시스템에서 인증 없이 원격 코드 실행을 허용할 수 있는 최대 심각도 취약점 두 가지가 포함됩니다.
CVE-2026-73453은 TCP 포트 9559의 P4Runtime 서비스에 영향을 미치며, CVE-2026-73456은 gNPSI에 영향을 미칩니다.
두 기능 모두 기본적으로 비활성화되어 있으며, Arista는 두 취약점 모두 실제 악용이 확인된 바 없다고 밝혔습니다.
InfraTrust는 또한 CVE-2026-20212를 강조했습니다. 이는 심각한 Cisco Nexus 9000 취약점으로, 인증되지 않은 공격자가 영향을 받는 스위치에서 기본적으로 접근 가능한 두 개의 디버그 포트를 통해 root 코드 실행 권한을 획득할 수 있게 합니다.
리눅스 취약점 하나가 19개 권고로 확산
9월 보고서는 또한 서드파티 구성 요소의 공급망 취약점이 인프라 제품 전반에 걸쳐 어떻게 패치 부담을 가중시킬 수 있는지 보여줍니다.
InfraTrust는 5월에 CISA KEV 카탈로그에 등재된 Linux 커널 권한 상승(Privilege Escalation) 취약점 CVE-2026-31431("CopyFail"이라고도 불림)이 현재 6개 벤더의 19개 별도 보안 권고에 등장한다는 것을 발견했습니다.
Arista, F5, Juniper, Extreme Networks, HPE Aruba는 각각 취약한 구성 요소를 포함한 제품에 영향을 주는 권고를 게시했으며, Dell은 VxRail, PowerFlex, ThinOS, PowerProtect, Networking OS10을 포함한 제품을 다루는 14개의 권고를 발행했습니다.
"하나의 업스트림 결함이 19개의 개별 패치 작업을 만들어냈으며, 각각 다른 벤더 일정과 다른 권고 번호로 제공됩니다."라고 보고서는 설명합니다.
펌웨어도 여전히 취약점
보고서는 또한 Eclypsium이 발견해 CERT/CC를 통해 공개한 UEFI 셸 보안 부팅(Secure Boot) 우회 취약점을 언급합니다.
이 취약점은 UEFI 부팅 설정에 접근 권한이 있는 공격자가 시작 중에 정상적으로 차단되는 내장 UEFI 셸을 실행할 수 있게 합니다.
이후 공격자는 메모리에서 보안 부팅 설정을 수정하고 운영 체제가 시작되기 전에 서명되지 않은 코드를 실행할 수 있습니다.
이 공개는 Cisco의 CVE-2026-20293, AMI Aptio 기반 시스템의 CVE-2026-33197, Insyde의 CVE-2026-6485 등 세 가지 취약점으로 추적됩니다.
AMI, Dell, Cisco, Lenovo, Supermicro는 영향을 받는 제품에 대한 수정 사항을 출시했거나 예고했습니다.
AI 기반 공격에 대한 보안 청사진 구축
Mikko Hyppönen과 NFL, CHANEL, Atlassian의 보안 리더들과 함께 하는 2시간 디지털 서밋에 참가하세요. AI 속도의 공격이 무엇을 바꾸는지, 방어자가 무엇을 그만해야 하는지, 그리고 기계 속도로 검증하고 결정하고 수정하고 재검증하는 방법을 다룹니다.
자리 예약하기
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
