Cisco가 Secure Email Gateway(SEG) 장치에서 악용되고 있는 제로데이 취약점을 해결하는 보안 업데이트를 발표했다. 이 취약점은 원격의 비인증 공격자가 기본 운영체제에서 루트 권한으로 파일을 작성하고 명령을 실행할 수 있게 한다.
이 취약점은 CVE-2026-76519라는 번호가 부여되었으며, 이메일 첨부 파일을 부적절하게 처리한 결과 Advanced Malware Protection(AMP) 기능에서 상대 경로 순회 취약점이 발생한다. Cisco의 설명에 따르면, 업데이트되지 않은 장치를 통해 특수 제작된 첨부 파일이 포함된 메시지를 보내는 것만으로도 이 결함을 악용할 수 있다.
이 취약점의 영향을 받는 대상은?
File Reputation 서비스가 활성화되어 메일 정책에 할당되어 있고 Content Scanner Tools 버전이 25.3.0.5525보다 이전인 경우 SEG 인스턴스가 영향을 받는다. 관리자는 CLI 인터페이스에서 contentscannerstatus 명령을 사용해 버전을 확인한 다음, Advanced Malware Protection 섹션의 수신 또는 발신 메일 정책에서 Enable File Reputation 옵션을 검토할 수 있다.
활발한 악용 및 침해 지표
Cisco는 사고 대응팀 PSIRT가 2026년 10월 이 취약점의 활발한 악용 사실을 인지했다고 밝혔다. 그러나 공격 또는 배후 세력에 관한 추가 세부 정보는 공개하지 않았다. 대신 회사는 시스템 메시지와 관련된 침해 지표를 제공했으며, 여기에는 침해 지표가 발견된 것으로 의심되는 경우, 보안 검사가 완료되지 않은 경우, 또는 지표가 발견되지 않은 경우가 포함된다.
침해 징후가 나타나거나 검사가 실패하는 경우 Cisco는 기술 지원 센터 TAC에 연락할 것을 권고한다. 침해 지표가 발견되지 않았다는 메시지가 표시되더라도 안정 버전이 제공되면 해당 버전으로 업그레이드해야 한다.
시스템 관리자는 무엇을 해야 하는가?
Cisco는 root 권한으로 명령을 실행할 수 있게 된 공격자가 악용 흔적을 제거할 수 있다고 경고했다. 따라서 방화벽과 네트워크 로그를 검토하여 다운로드 또는 업로드, 외부 또는 의심스러운 IP 주소와의 통신을 확인할 것을 권고했다. 또한 회사가 연락한 고객들에게 장치를 안전한 설정으로 되돌리고, 가능할 경우 장치에 설치된 자격 증명과 암호화 자료를 갱신하며, 장치에 대한 접근을 제한하고 강력한 접근 제어 메커니즘을 적용할 것을 요청했다.
이 소식이 중요한 이유
이 취약점의 위험성은 인증이 필요 없고, 이메일 첨부 파일을 통해 악용할 수 있으며, 루트 권한을 획득할 수 있다는 세 가지 요소가 결합된 데 있다. 또한 Cisco의 이메일 보안 제품에 영향을 미친 일련의 악용 취약점 가운데 하나이므로, 버전 확인과 로그 검토는 단순한 정기 업데이트가 아니라 긴급한 조치다.
Shadowserver는 인터넷에 노출된 Cisco Secure Email Gateway 인스턴스 약 300개를 모니터링하고 있지만, 이 가운데 가상 장치의 수 또는 실제로 보안 조치가 완료된 장치의 수를 특정할 수 있는 정보는 उपलब्ध하지 않다. Cisco는 2024년 7월 CVE-2024-20401이라는 번호의 SEG 내 또 다른 취약점을 해결했으며, 이후 1월에는 2025년 11월부터 악용된 CVE-2025-20393이라는 치명적인 AsyncOS 취약점을 수정했다. 지난달 회사는 CVE-2026-76461이라는 또 다른 이메일 분석 제로데이 취약점에 대해 경고했으며, 이 취약점 역시 root 권한으로 명령을 실행할 수 있게 한다.