SonicWall SMA 1000 어플라이언스, 제로데이 취약점 통해 공격 받아

한 줄 요약

SonicWall의 원격 접속 장비(VPN 게이트웨이)인 SMA 1000 시리즈에서 아직 패치가 없었던 두 가지 취약점(CVE-2026-83548, CVE-2026-83549)이 실제 공격에 악용되고 있습니다. 첫 번째 취약점은 로그인 없이도 공격자가 장비에 무단 접근할 수 있게 하며, 두 번째는 관리자 권한을 가진 공격자가 장비를 원격에서 마음대로 조작(RCE, 원격 코드 실행)할 수 있게 합니다. 중대형 기업, 정부기관, 보안관제 서비스 제공자(MSSP)가 주로 사용하는 제품이라 피해 범위가 클 수 있습니다. SonicWall은 긴급 핫픽스(임시 보안 패치)를 제공하고 있으며, 침해가 확인된 경우 장비 재설치와 모든 비밀번호 초기화를 권고하고 있습니다. CISA의 실제 악용 취약점 목록(KEV)에도 두 CVE 모두 등재되어 즉각적인 조치가 필요합니다.

사건

SonicWall SMA 1000 시리즈 어플라이언스에서 제로데이 취약점 2건(CVE-2026-83548, CVE-2026-83549)이 발견되어 실제 공격에 악용되고 있음이 SonicWall에 의해 공식 확인됨.

영향

CVE-2026-83548은 인증 없이 민감 기능에 무단 접근 가능하며, CVE-2026-83549는 관리자 권한의 공격자가 원격 코드 실행(RCE)을 달성할 수 있음. 중대형 기업·정부기관·MSSP 고객이 주요 피해 대상.

원인

SMA 1000의 작업 공간 인터페이스(Appliance Work Place)의 SSRF(서버 측 요청 위조) 결함과 관리 콘솔(Appliance Management Console)의 OS 명령 주입 취약점이 원인.

대응

SonicWall은 핫픽스를 즉시 적용하도록 강력 권고하며, 침해 확인 시 장비 재이미징(하드웨어)/재배포(가상), 모든 사용자·관리자 비밀번호 변경, TOTP 토큰 초기화를 지시함.

실무 포인트

SMA 1000 모델(6210, 7210, 8200v) 운영 조직은 즉시 핫픽스를 적용하고 SonicWall 기술지원팀에 연락해 침해지표(IoC) 점검을 받아야 함. SMA 100 시리즈 및 SonicWall 방화벽은 영향 없음.

본문

공격자들이 SonicWall SMA 1000 어플라이언스에서 이전에 공개되지 않은 두 가지 취약점(CVE-2026-83548, CVE-2026-83549)을 악용하고 있다고 벤더가 화요일에 공식 확인했다.

취약점 소개 (CVE-2026-83548, CVE-2026-83549)

SonicWall SMA 1000 시리즈는 대규모 환경을 위해 설계된 보안 원격 접속 어플라이언스(SSL VPN 게이트웨이) 제품군이다. 중대형 기업, 정부기관, 보안관제 서비스 제공자(MSSP)가 일상적으로 사용한다.

CVE-2026-83548은 Appliance Work Place 인터페이스의 사전 인증 SSRF(서버 측 요청 위조) 취약점으로, 원격의 비인증 공격자가 "민감한 기능에 무단 접근하고 허가되지 않은 작업을 수행"할 수 있게 한다.

CVE-2026-83549는 Appliance Management Console의 OS 명령 주입(OS command injection) 취약점으로, 특정 조건에서 관리자 권한을 가진 인증된 공격자가 패치되지 않은 어플라이언스에 대해 원격 코드 실행(RCE)을 달성할 수 있다.

두 취약점은 물리 및 가상 SMA 1000 모델 모두에 영향을 미친다: 6210, 7210, 8200v.

SMA 100 어플라이언스나 SonicWall 방화벽에는 영향을 주지 않는다.

취약점을 발견한 공로는 SonicWall 소속의 William Perry와 Adam Babis에게 돌아갔다.