시스코 이메일 보안장비 제로데이 악용…악성 메일 한 통에 '루트 권한' 탈취

가

가

기사의 본문 내용은 이 글자크기로 변경됩니다.

시스코 기업용 이메일 보안장비인 시스코 시큐어 이메일 게이트웨이(Cisco Secure Email Gateway)에서 인증 없이 원격으로 시스템 최고 권한을 탈취할 수 있는 치명적인 취약점이 발견됐다. 문제는 보안 업데이트가 공개되기 전부터 실제 공격에 악용됐다는 점이다.

시스코는 2026년 9월 14일 시스코 시큐어 이메일 게이트웨이에서 발견된 SQL 인젝션(SQL Injection, 데이터베이스 명령 처리 과정에 악성 구문을 삽입하는 공격) 취약점 'CVE-2026-76461'을 공개했다. CVSS v3.1 기준 위험도는 10점 만점에 9.8로 '치명적(Critical)' 등급이다. 시스코 제품보안사고대응팀(PSIRT)은 9월 중 이 취약점이 실제 공격에 악용되고 있다는 사실을 인지했다고 밝혔다.

시스코 시큐어 이메일 게이트웨이는 과거 아이언포트 이메일 시큐리티 어플라이언스(IronPort Email Security Appliance)로 알려졌던 기업용 이메일 보안 제품이다. 외부에서 들어오는 이메일과 외부로 나가는 이메일을 검사해 스팸, 악성코드, 피싱 등 이메일 기반 위협을 차단하는 역할을 한다.

이번 취약점이 특히 위험한 이유는 공격자가 관리 화면에 로그인하거나 별도의 계정을 확보할 필요가 없다는 데 있다.

공격자는 악성 SQL 구문을 포함하도록 조작한 이메일을 취약한 장비를 거쳐 전달하는 방식으로 공격할 수 있다. 시스코에 따르면 시큐어 이메일 게이트웨이의 이메일 처리 과정에서 입력값을 충분히 검증하지 않는 문제가 원인이다.

공격이 성공하면 임의의 SQL 명령을 실행할 수 있으며, 이후 장비 운영체제에서 루트(root) 권한으로 명령을 실행할 수 있다. 루트는 운영체제 전체를 제어할 수 있는 최고 관리자 권한이다. 이메일 보안을 담당하는 게이트웨이 자체가 공격자에게 장악될 수 있다는 의미다.

보안 업데이트 공개 전부터 공격에 악용

미국 사이버보안·인프라보안국(CISA)은 시스코가 취약점을 공개한 9월 14일 CVE-2026-76461을 '실제 악용된 취약점 목록(Known Exploited Vulnerabilities·KEV)'에 추가했다.

CISA KEV 등재는 단순히 공격 가능성이 높다는 의미가 아니라 실제 공격에 사용됐다는 근거가 확인됐다는 뜻이다. 미국 연방기관을 대상으로 정해진 조치 기한은 2026년 9월 17일이다.

프랑스 CERT-FR과 미국 MS-ISAC도 9월 15일 관련 보안 경고를 내고 실제 악용 사실을 알렸다. CERT-FR은 원격 코드 실행(RCE, 공격자가 원격에서 시스템 명령을 임의로 실행하는 것)과 SQL 인젝션 위험을 경고했으며, MS-ISAC도 공격에 성공할 경우 영향을 받은 장비가 완전히 장악될 수 있다고 설명했다.

취약점은 시스코 기술지원센터(TAC)가 고객 지원 사례를 처리하는 과정에서 발견됐다. 시스코는 공격을 수행한 배후 조직이나 공격 목적, 피해 조직 수 등 구체적인 공격 활동은 공개하지 않았다.

초기 보안 분석이 공개된 9월 15일 당시에는 공개된 공격 코드가 확인되지 않았지만 이후 깃허브에서 CVE 번호를 사용한 개념증명(PoC, Proof of Concept) 저장소들이 등장했다. 다만 해당 코드들의 실제 동작 여부와 기존 공격에 사용된 코드와의 관련성은 공식적으로 확인되지 않았다. 따라서 공개된 저장소의 존재만으로 실제 공격 도구와 동일하다고 판단해서는 안 된다.

물리·가상 장비 모두 영향…우회 방법 없어

취약점은 장비 설정과 관계없이 시스코 시큐어 이메일 게이트웨이의 물리 장비와 가상 장비 모두에 영향을 준다.

시스코가 공개한 최초 수정 버전은 AsyncOS 15.5 이하 제품의 경우 15.5.5-014, 16.0 계열은 16.0.4-302, 16.5 계열은 16.5.0-780이다. 시스코는 가능하면 최신 버전인 16.5.0-780으로 이전할 것을 권고했다.

반면 시스코 시큐어 이메일 앤 웹 매니저(Cisco Secure Email and Web Manager)와 시스코 시큐어 웹 어플라이언스(Cisco Secure Web Appliance)는 CVE-2026-76461의 직접적인 영향 대상이 아닌 것으로 확인됐다.

중요한 점은 이 취약점을 막을 수 있는 별도의 우회 방법이 없다는 것이다. 방화벽 정책 변경이나 관리 인터페이스 접근 제한만으로 해결할 수 있는 문제가 아니기 때문에 취약 버전을 사용하는 기관과 기업은 보안 업데이트를 우선 적용해야 한다.

시스코 시큐어 이메일 클라우드(Cisco Secure Email Cloud)는 이미 전체 장비를 16.5.0-780 버전으로 업데이트했다. 시스코는 클라우드 서비스에 포함된 장비를 조사한 결과 침해 가능성을 나타내는 흔적이 발견된 일부 고객에게 직접 연락했으며 복구 작업도 진행하고 있다고 밝혔다.

'COPY TO PROGRAM' 흔적 확인…장비 내부 로그만 믿어서는 안 돼

시스코는 공격 여부를 확인하려면 시큐어 이메일 게이트웨이의 'mail_logs'를 점검할 것을 권고했다. 클러스터 환경이라면 각 장비의 로그를 모두 살펴봐야 한다.

특히 로그에서 'COPY'와 'TO PROGRAM'이 결합된 비정상적인 SQL 명령 흔적이 있는지 확인해야 한다. 관련 기록이 발견되면 공격이 시도됐을 가능성이 있다.

하지만 해당 문자열이 발견되지 않았다고 해서 안전하다고 단정하기는 어렵다.

공격에 성공한 공격자는 루트 권한을 확보하기 때문에 장비 내부의 로그나 침해 흔적을 삭제하거나 숨길 수 있다. 시스코도 이 점을 별도로 경고했다.

이에 따라 해당 장비의 내부 로그뿐 아니라 외부 방화벽과 네트워크 장비 로그도 함께 확인해야 한다. 시큐어 이메일 게이트웨이에서 외부 IP 주소로 평소와 다른 파일 업로드가 발생했거나 의심스러운 외부 주소에서 파일을 내려받은 기록이 있는지도 살펴볼 필요가 있다.

침해가 의심되는 가상 어플라이언스는 단순 패치만으로 대응하는 것보다 사고 증거를 먼저 보존한 뒤 수정된 버전으로 새 가상머신을 구축하는 방안이 권고됐다.

시스코는 새 장비에 설정을 다시 구성하고 기존 장비에 저장돼 있던 계정 비밀번호와 암호화 키, 인증서 등 자격증명과 암호화 관련 자료를 교체하도록 안내했다. 이후에도 비정상적인 동작이 발생하는지 계속 감시해야 한다.

물리 장비에서 침해 정황이 발견될 경우에는 시스코 기술지원센터를 통해 추가 조사를 받도록 권고했다.

특히 실제 공격이 이미 확인됐고 우회 방법도 제공되지 않은 상태다. 취약 버전을 운영하는 기관과 기업은 패치 적용과 함께 과거 로그를 점검해 보안 업데이트 이전 공격 여부까지 확인해야 한다.