메일 한 통으로 루트 권한까지... 시스코 이메일 보안 장비 제로데이 취약점, 이미 공격에 쓰였다

한 줄 요약

시스코의 '시큐어 이메일 게이트웨이(Secure Email Gateway)' 보안 장비에서 심각한 취약점(CVE-2026-76461)이 발견됐으며, 이미 실제 공격에 활용되고 있습니다. 공격자는 악성 코드를 담은 이메일 한 통만 보내면 해당 장비에서 루트(최고 관리자) 권한을 획득할 수 있어, 별도의 계정이나 사용자 클릭이 전혀 필요 없습니다. 인터넷에 노출된 취약 장비가 400대 이상 확인된 상황이며, 미국 CISA(사이버보안 및 인프라보안국)는 이를 '실제 악용 중인 취약점' 목록에 올리고 연방기관에 즉시 패치를 지시했습니다. 시스코는 이 취약점을 포함해 총 5건의 취약점에 대한 패치를 배포했으며, 관리자는 즉시 패치를 적용하고 메일·네트워크 로그를 점검해야 합니다.

사건

시스코 시큐어 이메일 게이트웨이에서 SQL 인젝션(데이터베이스 명령어 삽입) 방식의 제로데이 취약점(CVE-2026-76461)이 발견됐으며, 9월부터 실제 공격에 사용되고 있음이 확인됐다.

영향

인증 없이 이메일 한 통만으로 장비 루트 권한 탈취가 가능하며, 가상·물리 장비 모두 영향을 받는다. 인터넷에 노출된 취약 장비가 400대 이상으로 파악된다.

원인

장비가 수신 이메일을 처리할 때 내용을 충분히 검증하지 않아, 악성 SQL 명령문이 포함된 메일이 그대로 실행되고 운영체제 수준의 루트 명령 실행으로 이어진다.

대응

시스코가 패치를 배포했고, CISA는 CVE-2026-76461을 KEV 목록에 등재해 연방기관에 17일까지 패치 완료를 지시했다. 추가로 4건의 심각 취약점(CVE-2026-76440, CVE-2026-76441, CVE-2026-20353, CVE-2026-76443)에 대한 패치도 함께 배포됐다.

실무 포인트

즉시 패치를 적용하고, 메일 로그에서 수상한 SQL 명령문 흔적을 확인해야 한다. 네트워크·방화벽 로그에서 외부 악성 IP와의 통신 여부도 점검하되, 공격자가 침입 흔적을 삭제했을 가능성도 염두에 둬야 한다.

본문

시스코가 자사 '시큐어 이메일 게이트웨이'(Secure Email Gateway) 보안 장비 취약점에 대한 패치를 권고했다. 공격자가 인증 절차를 거치지 않고 장비 최고 권한으로 명령을 실행할 수 있는 결함이다.

시스코 제품보안대응팀(PSIRT)은 9월 들어 이 취약점이 실제로 악용되고 있다고 밝혔다. 문제가 된 취약점은 'CVE-2026-76461'로, 시큐어 이메일 게이트웨이와 이 장비를 돌리는 어싱크OS(AsyncOS) 소프트웨어가 대상이다.

장비가 들어오는 메일을 해석할 때 내용을 제대로 검증하지 않는 탓이다. 공격자는 악성 SQL(데이터베이스 명령어) 명령문을 심은 메일을 만들어 장비로 보내기만 하면 된다. 그 명령문이 그대로 실행되면서 장비 운영체제에서 루트 권한 명령까지 이어진다.

메일을 받아 처리하는 길목에 놓인 장비인 만큼, 공격자는 표적 조직에 메일 한 통을 보내는 것만으로 공격을 할 수 있다. 별도 계정도, 이용자 클릭도 필요 없다.

영향 범위도 넓다. 가상 장비와 물리 장비를 가리지 않고, 장비를 어떻게 설정해 뒀는지와 관계없이 취약하다. 위협 관측 단체 섀도우서버(Shadowserver)는 인터넷에 노출돼 있는 시큐어 이메일 게이트웨이 장비를 400대 넘게 추적하고 있다.

미국 사이버보안및인프라보안국(CISA)은 이를 악용 중인 취약점(KEV) 목록에 올렸다. CISA는 연방기관에 17일까지 패치를 마치라고 지시했다.

시스코는 시큐어 이메일 게이트웨이와 '시큐어 이메일·웹 매니저'(Secure Email and Web Manager) 장비에 영향을 미치는 다른 심각 수준 취약점 4건 CVE-2026-76440, CVE-2026-76441, CVE-2026-20353, CVE-2026-76443도 함께 손봤다. 이들이 실제 공격에 쓰인 정황은 아직 없다.

관리자는 메일 로그를 열어 수상한 데이터베이스 명령문이 남아 있는지 살펴야 한다. 시스코는 네트워크와 방화벽 로그도 함께 대조해 외부의 악성 IP 주소와 파일을 주고받은 흔적이 없는지 확인하라고 권고했다. 공격자가 침입 흔적을 지웠을 수 있다는 점도 시스코는 함께 짚었다.