Cisco는 CVE-2026-20079로 식별된 Cisco Secure Firewall Management Center(FMC) 소프트웨어의 치명적인 보안 취약점이 실제 공격에 악용되고 있다고 확인했다. 이 취약점의 CVSS 점수는 최고 등급인 10.0이며, 원격의 인증되지 않은 공격자가 인증을 우회하고 영향을 받는 장치에서 root 권한으로 스크립트와 명령을 실행할 수 있도록 한다.
PSIRT로 알려진 Cisco의 보안 사고 대응팀은 수요일 취약점 권고문을 업데이트하면서 2026년 8월에 활발한 악용 사실을 인지했다고 설명했다. 회사는 3월에 처음 이 취약점을 공개했지만, 당시에는 공격에 사용되고 있다는 증거가 없다고 밝혔다. Cisco는 공격이 시작된 시점이나 배후 세력을 특정하지 않았으며, 침해 이후 진행된 활동에 대한 세부 정보도 공개하지 않았다.
취약점은 어떻게 악용될 수 있는가?
이 문제는 장치 부팅 과정에서 시스템 프로세스가 잘못 생성되기 때문에 발생한다. 공격자는 장치의 웹 인터페이스에 특수하게 조작한 HTTP 요청을 전송해 이를 악용할 수 있다. 공격이 성공하면 인증되지 않은 공격자가 root 권한으로 스크립트와 명령을 실행할 수 있다.
영향을 받는 제품에는 Cisco Secure FMC Software와 Cisco Security Cloud Control Firewall Management가 포함된다. Cisco는 클라우드 호스팅 서비스인 Security Cloud Control을 수정했지만, 온프레미스 소프트웨어 고객에게는 이용 가능한 최신 버전으로 업그레이드할 것을 권고하며 이 취약점에 대한 우회 방법은 없다고 강조했다.
더 이른 활동을 시사하는 지표
Cisco는 활발한 악용을 인지한 시점을 8월과 연결했지만, 7월의 이전 업데이트에서 공개된 침해 지표는 활동이 그보다 앞서 시작됐을 가능성을 시사한다. 회사는 7월 29일 Secure FMC에서 또 다른 취약점인 CVE-2026-20316을 공개했다. 이 취약점은 낮은 권한 계정에 대한 하드코딩된 자격 증명 때문에 발생하며, Cisco는 이 취약점도 공격에 악용됐다고 밝혔다.
두 취약점의 업데이트에는 동일한 지표와 동일한 긴급 완화 조치가 포함됐다. 또한 Cisco는 관리자들에게 /var/log/messages에서 /var/tmp/license.tmp 경로와 관련된 활동을 검색하라고 요청했다. 여기에는 root 권한으로 /usr/local/sf/bin/package_info.pl /var/tmp/license.tmp --lsm 명령을 실행한 7월 23일자 로그도 포함된다. 회사는 이 로그가 발견되면 장치가 악용됐다는 의미일 수 있다고 보지만, 해당 활동 자체가 두 취약점을 함께 악용한 것인지는 설명하지 않았다.
관리자에게 어떤 의미가 있는가?
미국 사이버보안·인프라보안국 CISA는 CVE-2026-20079를 알려진 악용 취약점 카탈로그에 추가했으며, 미국 연방 민간 행정부 기관에 2026년 9월 12일까지 영향을 받는 시스템을 보호하도록 요구했다.
실무적인 우선순위는 패치 설치에만 국한되지 않는다. Cisco는 업데이트가 향후 악용을 차단하지만 이미 침해된 장치를 복구하지는 않는다고 경고한다. 따라서 침해 지표를 발견한 고객은 TAC(기술 지원 센터)에 연락해야 하며, 공격 시점과 실행 주체, 그리고 두 취약점의 악용이 동일한 캠페인에서 이루어졌는지에 대해서는 여전히 해결되지 않은 질문이 남아 있다.