SonicWall, 실제 악용 중인 SMA1000 제로데이 취약점 경고

한 줄 요약

SonicWall의 원격 접속 장비인 SMA1000에서 두 개의 제로데이(아직 패치가 없는 상태에서 발견된) 취약점(CVE-2026-83548, CVE-2026-83549)이 발견되었으며, 공격자들이 이를 묶어서 원격 코드 실행(RCE, 피해 장비를 외부에서 마음대로 조종할 수 있는 공격)에 악용하고 있습니다. 이 장비는 대기업·정부·핵심 인프라 기관에서 원격 근무용 VPN으로 널리 쓰이고 있어 피해 파급력이 큽니다. 현재 인터넷에 노출된 SMA1000 장비가 400대 이상으로 파악되며, SonicWall은 즉시 최신 핫픽스 버전으로 업그레이드할 것을 강력히 권고했습니다. 올해 7월에도 같은 장비의 다른 취약점(CVE-2026-15409, CVE-2026-15410)이 제로데이 공격과 랜섬웨어에 악용된 전례가 있어 신속한 대응이 필요합니다.

사건

SonicWall SMA1000 원격 접속 장비에서 두 개의 제로데이 취약점(CVE-2026-83548: SSRF 기반 명령어 인젝션, CVE-2026-83549: OS 명령어 인젝션)이 체이닝 방식으로 실제 공격에 악용되고 있다.

영향

공격 성공 시 취약 장비에서 원격 코드 실행이 가능하며, 대기업·정부·핵심 인프라 조직의 원격 접속 인프라가 침해될 수 있다. 인터넷 노출 장비가 400대 이상으로 파악된다.

원인

SMA1000 WorkPlace 인터페이스의 SSRF 취약점(CVE-2026-83548)과 관리 콘솔(Management Console)의 OS 명령어 인젝션 취약점(CVE-2026-83549)을 연계 악용한다. CVE-2026-83549는 관리자 권한을 가진 공격자가 트리거할 수 있다.

대응

SonicWall은 SMA1000 6210·7210·8200v 모델 사용자에게 최신 핫픽스 버전으로 즉시 업그레이드를 권고했다. 침해 지표(IOC) 발견 시 장비 재이미지, 모든 사용자·관리자 비밀번호 변경, TOTP 토큰 초기화도 권장한다.

실무 포인트

인터넷에 노출된 SMA1000 장비를 즉시 확인하고 핫픽스를 적용해야 한다. 동일 제품군의 이전 취약점(CVE-2026-15409/15410)이 랜섬웨어 갱단에 악용된 전례가 있으므로 패치 지연은 매우 위험하다. SMA 100 시리즈 및 SonicWall 방화벽의 SSL-VPN은 이번 취약점의 영향을 받지 않는다.

본문

SonicWall은 위협 행위자들이 두 개의 새로운 SMA1000 제로데이 취약점을 연계해 원격 코드 실행(RCE) 공격을 수행하고 있다고 고객들에게 경고했다.

첫 번째는 최고 심각도의 명령어 인젝션 취약점(CVE-2026-83548)으로, SMA1000 Appliance WorkPlace 인터페이스에서 발견되었으며 SSRF(서버 측 요청 위조) 취약점에서 비롯된다.

현재 실제 악용 중인 이 제로데이 체인은 SMA1000 Appliance Management Console의 명령어 인젝션 취약점(CVE-2026-83549)도 표적으로 삼으며, 관리자 권한을 가진 공격자가 이를 악용해 취약한 장비에서 임의의 OS 명령을 실행할 수 있다.

"SonicWall PSIRT는 이 보안 권고에 기술된 취약점이 실제로 악용되고 있음을 나타내는 사례를 조사했습니다. 이 취약점을 해결하기 위해 가능한 한 빨리 핫픽스 릴리스로 업그레이드할 것을 고객 여러분께 강력히 촉구합니다." 라고 회사는 화요일 보안 권고문에서 경고했다.

두 보안 취약점은 SMA1000 6210, 7210, 8200v 모델에 영향을 미치지만, SonicWall 방화벽에서 실행되는 SSL-VPN이나 SMA 100 시리즈 제품군에는 영향을 주지 않는다.

인터넷 보안 감시 기관인 Shadowserver는 현재 온라인에 노출된 SMA1000 어플라이언스를 400대 이상 추적하고 있으며, 그 중 일부는 이미 해당 익스플로잇 체인에 대한 패치가 적용되었을 수 있다.

인터넷에 노출된 SonicWall SMA1000 어플라이언스 (Shadowserver)

SonicWall은 모든 고객에게 가상 또는 물리적 SMA1000 어플라이언스를 최신 핫픽스 버전으로 업그레이드할 것을 촉구했다.

회사는 또한 침해 지표(IOC)가 감지될 경우 관리자에게 장비를 재이미지하고, 모든 사용자 및 관리자 비밀번호를 변경하며, TOTP 토큰을 초기화할 것을 권고했다. 다만 현재 진행 중인 공격에 대한 세부 정보나 조사 과정에서 발견한 IOC 목록은 아직 공개하지 않은 상태다.

SMA1000이 대기업·정부·핵심 인프라 조직에서 사용하는 안전한 원격 접속 어플라이언스인 만큼, 이러한 취약점은 종종 공격의 표적이 된다.

지난 7월에는 또 다른 SonicWall SMA1000 취약점 두 개(CVE-2026-15409 및 CVE-2026-15410)가 몇 주에 걸쳐 제로데이 공격에 악용되어 취약한 VPN 어플라이언스에 맞춤형 악성코드가 설치되었다. 지난달에는 미국 사이버보안·인프라보안국(CISA)이 랜섬웨어 갱단이 이 두 취약점을 실제로 악용하기 시작했음을 확인했다.

회사는 또한 12월에 해커들이 루트 권한을 획득하기 위해 연계 악용하던 또 다른 SMA1000 제로데이 취약점(CVE-2025-40602)을 패치하도록 고객들에게 경고한 바 있다.

그보다 한 달 전에는 연구원들이 훔친 자격증명을 이용해 침해된 SonicWall SSLVPN 계정이 100개 이상이라고 경고한 후, SonicWall이 국가 배후 해커들을 고객의 방화벽 구성 백업 파일을 유출한 9월 보안 침해 사건과 연루된 것으로 지목했다.