시스코 VPN 결함, 인증 없이 방화벽 재부팅시켜…실전 악용 확인

시스코(Cisco)가 자사 방화벽 제품인 시큐어 파이어월 적응형 보안 어플라이언스(ASA)와 시큐어 파이어월 위협 방어(FTD) 소프트웨어에서 실제 공격에 악용되고 있는 고위험 취약점을 공개했다. CVE-2026-20349로 지정된 이 결함은 CVSS 점수 8.6에 해당하는 고위험 등급이다. 인증 절차나 사용자 개입 없이 원격에서 조작된 HTTP 요청 하나만으로 장비를 강제로 재부팅시킬 수 있어 서비스 거부(DoS) 상태를 유발한다.

시스코 제품보안대응팀(PSIRT)은 2026년 8월 실제 악용 사실을 인지했다고 밝혔다. 미국 사이버보안·인프라보안국(CISA)은 이 취약점을 이미 알려진 위험 취약점(KEV) 목록에 등재하고 연방기관에 8월 14일(현지시각)까지 패치를 마치라고 통보했다. 최근 원격 접속·관리 솔루션을 표적으로 한 취약점 악용 사례가 잇따르는 가운데, 이번에는 기업 네트워크의 관문 역할을 하는 VPN 게이트웨이가 다시 도마 위에 올랐다.

어떻게 방화벽을 재부팅시키나

이 취약점은 원격 접속 SSL VPN(Remote Access SSL VPN) 기능이 HTTP 요청을 처리하는 과정에서 오류 검사가 충분히 이뤄지지 않아 발생한다. 시스코는 보안 권고에서 “공격자는 영향받는 장치의 원격 접속 SSL VPN 서비스로 조작된 HTTP 요청을 전송해 이 취약점을 악용할 수 있다”며 “성공적인 공격은 장치를 재부팅시켜 서비스 거부 상태로 이어질 수 있다”고 설명했다.

CVSS 벡터에 따르면 이 공격은 네트워크를 통해 원격으로 수행 가능하고 공격 복잡도가 낮으며 별도 권한이 필요 없다. 영향 범위는 가용성에 한정된다. 시스코는 이 결함이 코드 실행이나 정보 탈취, 장치의 영구적 장악으로 이어진다고는 설명하지 않았다. 다만 원격 접속 VPN 서비스는 설계상 인터넷에 직접 노출되는 경우가 많아, 공격자가 내부 워크스테이션을 먼저 장악하거나 VPN 자격증명을 훔칠 필요 없이 조작된 요청 하나만으로 장비를 무력화할 수 있다는 점이 문제로 지목된다.

영향받는 장비와 조건

이 취약점은 다음 세 가지 설정 중 하나 이상이 활성화된 ASA·FTD 장비에서 작동한다. 클라이언트 서비스가 포함된 IKEv2 원격 접속 VPN(crypto ikev2 enable 명령으로 구성), SSL VPN(webvpn을 통해 구성), 그리고 제로 트러스트 네트워크 접속(zero-trust enable, FTD에만 적용)이다. 시스코 시큐어 파이어월 매니지먼트 센터(FMC)는 이번 취약점의 영향을 받지 않는다.

반복적인 악용은 VPN 세션을 끊어 원격 근무자, 관리자, 협력사 사용자의 접근을 일시적으로 막을 수 있다. ASA나 FTD 장비가 핵심 네트워크 관문 역할을 하는 조직이라면 반복적인 재부팅이 더 넓은 범위의 업무 차질로 이어질 수 있다. 시스코는 아직 공격자의 신원이나 지역, 표적 조직, 공격 성공 여부 등 세부 정보를 공개하지 않았다. 이 때문에 이번 활동이 사이버범죄, 스파이 활동, 핵티비즘, 혹은 단순 무작위 스캐닝 중 어디에 해당하는지는 현재로선 확인되지 않는다.

발견 경위와 공개, 남은 위험

시스코는 이 취약점을 내부 보안 테스트 과정에서 발견했다고 밝혔다. 보안 연구자 발레리오 브루사니(Valerio Brussani)도 독립적으로 같은 문제를 발견해 시스코에 신고했다. 시스코는 두 발견이 정확히 언제 이뤄졌는지는 공개하지 않았지만, 공개 보안 권고는 8월 11일(현지시각) 발표됐다.

권고 발표 시점까지 공개된 개념증명(PoC) 코드는 확인되지 않았다. 그러나 실제 악용이 확인됐다는 사실 자체가 최소 한 곳 이상의 공격 그룹이 이미 작동하는 악용 방법을 확보했음을 보여준다. 시스코는 이번 공격과 관련된 침해 지표(IOC)도 별도로 공개하지 않았다. 이 때문에 해시값이나 IP, 도메인 같은 전통적 지표에 의존하기보다 행위 기반 모니터링과 장비 상태 원격 측정, HTTP 요청 분석, 예기치 않은 재부팅 사례 조사가 더 중요해졌다는 지적이 나온다.

패치 방법과 남은 과제

시스코는 이 취약점을 완전히 해결할 우회 대책(워크어라운드)이 없다고 밝혔다. 영향받는 설정을 사용하는 조직은 벤더가 제공하는 핫픽스를 설치하거나 고정판 소프트웨어로 업그레이드해야 한다. ASA는 버전별로 9.16은 89.16.4.50, 9.18은 89.18.4.50, 9.20은 9.20.4.235, 9.22는 9.22.3.191, 9.23은 9.23.1.211, 9.24는 9.24.1.221 버전에서 문제가 수정됐다. 시스코는 9.16이나 9.18용 핫픽스를 설치하는 조직은 반드시 ASDM 7.24.1.374 버전을 함께 사용해야 한다고 안내했다. 기존 ASDM 버전은 새로 도입된 89.x 형식의 릴리스 번호를 인식하지 못하기 때문이다.

FTD는 7.0, 7.2, 7.4, 7.6, 7.7, 10.0 각 릴리스별로 별도 핫픽스가 배포됐다. 정확한 설치 패키지는 FTD 릴리스와 장비 플랫폼에 따라 달라지는 만큼, 관리자는 시스코 보안 권고와 소프트웨어 체커(Software Checker)를 통해 자신의 장비에 맞는 업데이트를 확인해야 한다.

블리핑컴퓨터(BleepingComputer) 보도에 따르면 시스코는 이달 별도로 시큐어 엔드포인트 커넥터(Secure Endpoint Connector) 윈도우·맥·리눅스용 제품에서도 공개 익스플로잇이 존재하는 ClamAV 관련 취약점이 있다고 밝혔다. 다만 해당 취약점의 패치는 아직 나오지 않았고 이달 중 늦게 배포될 예정이라고 전해졌다. 방화벽과 엔드포인트 보호 제품 양쪽에서 보안 이슈가 겹쳐 발생한 셈이어서, 시스코 장비를 운용하는 조직은 여러 갈래의 패치 일정을 동시에 챙겨야 하는 상황이다.