CVE-2026-20079는 Cisco Secure Firewall Management Center(FMC)의 웹 인터페이스에서 발생하는 인증 우회 및 원격 코드 실행 취약점입니다. 미인증 원격 공격자가 root 권한을 획득해 시스템을 완전히 장악할 수 있습니다. 이 취약점은 이미 CISA의 알려진 악용 취약점(KEV) 목록에 등재되었고, 실제 야생(In-the-wild)에서 다수의 위협 그룹이 활발히 악용하고 있습니다.
CVE-2026-20079 개요: CVSS 10.0 인증 우회가 의미하는 것
CVE-2026-20079는 보안 관리의 핵심인 FMC 웹 인터페이스의 인증 메커니즘을 무력화하는 심각한 결함입니다. CVSS 3.1 기준으로 최고 위험도인 10.0(CRITICAL) 점수를 기록했으며, 공격 벡터는 네트워크(AV:N), 낮은 공격 복잡성(AC:L), 권한 불필요(PR:N), 사용자 상호작용 불필요(UI:N)로 분류됩니다.
이 취약점의 핵심은 인증되지 않은 원격 공격자가 조작된 HTTP 요청을 전송해 인증 절차를 우회하고, 관리 기기에서 스크립트 파일을 실행해 기반 운영체제의 최고 권한인 root 접근권을 확보한다는 점입니다. 보안 장비의 설정 변경, 트래픽 감시, 네트워크 인프라 전체에 대한 2차 공격으로 이어질 수 있는 치명적인 경로입니다.
취약점 작동 원리: 부팅 시 생성되는 시스템 프로세스와 조작된 HTTP 요청
CISA 기술 분류에 따르면 이 취약점은 ‘대체 경로 또는 채널(alternate path or channel)’을 통한 인증 우회(CWE-288)로 정의됩니다. 구체적인 원인은 장비 부팅 시 생성되는 부적절한 시스템 프로세스에 있습니다.
공격자는 이 프로세스의 취약점을 이용해 정상적인 로그인 과정을 거치지 않고도 시스템 내부로 진입하는 경로를 찾아낸 뒤, 조작된 HTTP 요청으로 임의의 스크립트와 명령어를 실행합니다. 이런 과정을 거치면 공격자는 별도의 유효한 자격증명 없이도 원격에서 시스템의 전권을 장악하게 됩니다.
영향 범위: 온프레미스 FMC 버전별 현황과 SCC 확장
이 취약점은 온프레미스 환경의 Cisco Secure FMC 소프트웨어뿐만 아니라 클라우드 관리 환경인 Cisco Security Cloud Control(SCC) Firewall Management까지 영향을 미치는 것으로 확인되었습니다.
영향을 받는 온프레미스 FMC 소프트웨어의 버전 범위는 매우 넓습니다. 주요 대상 버전은 다음과 같습니다.
| 제품군 | 영향을 받는 주요 소프트웨어 버전 | 상태 |
|---|---|---|
| Cisco Secure FMC | 7.0.0 ~ 7.0.9 | Affected |
| Cisco Secure FMC | 7.1 ~ 7.2.11 | Affected |
| Cisco Secure FMC | 7.3.1.x | Affected |
| Cisco Secure FMC | 7.4.0 ~ 7.4.7 | Affected |
| Cisco Secure FMC | 7.6.x ~ 7.6.5 | Affected |
| Cisco Secure FMC | 7.7.x | Affected |
| Cisco Secure FMC | 10.0.0 ~ 10.0.1 | Affected |
| Cisco SCC Firewall Management | 해당 제품군 포함 | Affected |
특히 CISA KEV에는 FMC와 SCC Firewall Management가 함께 인증 우회 영향권에 있다고 명시되어 있어, 관리 환경의 형태와 관계없이 노출 가능성이 있다고 경고하고 있습니다. 다만 root 접근 경로가 구체적으로 확인된 곳은 FMC 웹 인터페이스이며, SCC Firewall Management까지 root 영향이 있는지는 제공된 근거 범위 안에서 별도로 확정되지 않았습니다.
실제 악용 현황: Cisco PSIRT 인지 시점과 Talos의 3개 공격 클러스터
이 취약점은 단순한 이론적 가능성에 그치지 않고 실제 공격에 쓰이고 있습니다. Cisco PSIRT는 2026년 8월에 실제 악용(active exploitation) 사례를 인지했고, 이에 따라 신속한 소프트웨어 업그레이드를 강력히 권고했습니다. NVD 역시 이 취약점의 악용 상태를 ‘active’로, 자동화 가능 여부를 ‘yes’로 분류해 공격의 용이성과 위험성을 짚어 주었습니다.
Cisco Talos는 야생에서의 악용 사례를 분석해 세 가지 주요 침해 클러스터를 공개했습니다.
- Cluster #1 (UAT-12197): JSP 웹셸과
cmd.jar명령 실행기를 배포해 자격증명을 탈취하는 활동이 확인되었습니다. - Cluster #2 (UAT-11823): CVE-2026-20079와 CVE-2026-20316을 악용해 Netcat 리버스 셸을 구축하고 ‘Cyclops Blink’ 변종을 배포했습니다. 이 그룹은 러시아 APT 조직인 Sandworm과 툴링이 겹치는 것으로 분석되었고, 높은 신뢰도로 귀속되었습니다.
- Cluster #3 (UAT-11988): 정적 자격증명으로 로그인한 뒤 Qilin 랜섬웨어 오퍼레이터와 일치하는 TTP(전술, 기법, 절차)를 사용해 랜섬웨어를 배포했습니다.
CISA KEV 등재와 2026-09-12 조치 시한 및 포렌식 트라이어지 의무
미국 사이버보안 및 인프라 보안국(CISA)은 2026년 9월 9일, CVE-2026-20079를 알려진 악용 취약점(KEV) 목록에 공식 등재했습니다. CISA는 이 취약점에 대해 2026년 9월 12일까지 조치를 완료하도록 시한을 부여했습니다. 매우 촉박한 일정입니다.
여기에 더해 CISA는 BOD-26-04 지침에 따라 이 취약점에 노출된 시스템에 대한 포렌식 트라이어지(Forensic Triage) 수행을 요구했습니다. 패치 적용으로 끝내는 게 아니라, 공격자가 이미 침입해 백도어를 설치했거나 자격증명을 탈취했는지 여부까지 정밀하게 조사하라는 뜻입니다.
대응 가이드 및 탐지 방법
현재 이 취약점에는 벤더사가 제공하는 공식 워크어라운드(우회 조치)가 없습니다. 유일한 해결책은 핫픽스 적용과 소프트웨어 업데이트입니다.
1. 즉각적인 대응 조치
- 핫픽스 적용: Cisco가 영향 버전별로 이미 릴리스한 핫픽스를 즉시 적용해야 합니다.
- 종합 하드닝 릴리스 업데이트: Cisco Talos는 내부적으로 발견된 다른 취약점들과 핫픽스를 묶은 종합 하드닝 릴리스를 2026년 9월 14일 주간에 배포할 예정이라고 예고했습니다.
- 자격증명 교체: root 권한 탈취와 자격증명 유출 사례가 확인된 만큼, 패치 후 관련 계정의 비밀번호와 인증 키를 교체할 것을 권합니다.
2. 탐지 및 모니터링
보안 담당자는 다음 지표로 침해 여부를 확인하고 공격 시도를 탐지하면 됩니다.
- Snort SID 활용: Cisco Talos가 공개한 CVE-2026-20079 관련 Snort SID(66075 ~ 66080)를 네트워크 침입 탐지 시스템에 적용하십시오.
- IOC 분석: 공개된 C2 IP(예: 89.34.96[.]56)와 악성 파일 해시값을 내부 로그와 대조해 외부 통신 여부를 확인하십시오.
- 로그 조사: 웹 인터페이스로 들어오는 비정상적인 HTTP 요청 패턴이나, 권한 없는 사용자의 root 권한 획득 시도 로그가 있는지 점검하십시오.