Cisco Secure Email Gateway에서 Root RCE 제로데이가 실제 공격에 악용 중

본문

Cisco가 월요일 Secure Email Gateway 어플라이언스에 영향을 미치는 제로데이 취약점이 실제 환경에서 악용되고 있다고 고객들에게 경고했습니다. CVE-2026-76461로 식별된 이 취약점은 CVSS 점수 9.8을 기록했으며, 이메일 보안 게이트웨이라는 특성상 인터넷에 직접 노출된 경계 장비에서 발생한 치명적 결함이라는 점에서 주목됩니다.

취약점의 정체

Cisco는 이 결함을 AsyncOS 소프트웨어의 이메일 파싱(email parsing) 문제로 설명하고 있습니다. 인증 없이 원격에서 악용이 가능하며, 공격자는 특수하게 조작된 이메일을 표적 사용자에게 전송하는 방식으로 악성 SQL 문을 실행할 수 있습니다. 이를 통해 기반 운영체제에서 root 권한으로 임의 명령을 실행하는 것이 가능합니다. 이메일 게이트웨이가 본질적으로 외부의 신뢰할 수 없는 입력을 상시 처리하는 장비라는 점을 고려하면, 파싱 계층에서 발생한 pre-auth RCE는 공격 표면의 최전선이 뚫린 셈입니다.

공격 현황과 대응 지침

Cisco는 자사 PSIRT가 2026년 9월에 CVE-2026-76461의 악용을 인지했다고 밝혔지만, 공격의 구체적인 정보나 배후는 공개하지 않았습니다. 회사는 침해 지표(IoC)를 공개했으나, 위협 행위자가 장비에서 root 권한을 획득할 수 있기 때문에 흔적을 지우기 위해 IoC를 제거하거나 숨길 수 있다는 점을 명시적으로 경고했습니다. 즉 IoC가 관측되지 않더라도 침해가 없었다고 단정할 수 없다는 의미입니다. 이 취약점은 물리적·가상 버전의 Secure Email Gateway 모두에 어떤 설정이든 영향을 미치며, Secure Email and Web Manager와 Secure Web Appliance는 영향을 받지 않습니다. CISA는 월요일 이 취약점을 KEV(Known Exploited Vulnerabilities) 카탈로그에 추가하고 연방 기관에 9월 17일까지 조치할 것을 지시했습니다.

주변 맥락

이번 취약점은 KEV 목록에 오른 두 번째 Cisco Secure Email Gateway 취약점입니다. 첫 번째는 CVE-2025-20393으로, 중국과 연계된 위협 행위자가 2025년 말부터 악용하기 시작했습니다. CVE-2026-76461은 Cisco가 Secure Email Gateway와 Secure Email and Web Manager 제품에서 내부적으로 발견한 여러 취약점 중 하나입니다. 또한 이번 소식은 Cisco와 CISA가 올해 초 공개된 Secure Firewall Management Center(FMC) 취약점 CVE-2026-20079를 이용한 공격을 경고한 지 며칠 만에 나온 것입니다. Cisco는 CVE-2026-20079와 또 다른 FMC 취약점인 CVE-2026-20316이 러시아 국가 지원 해커와 금전 목적의 사이버 범죄자 양쪽에 의해 악용되고 있다고 경고한 바 있습니다.

Reddit 반응

• @u/Hour-Swimmer7140 — 이메일 게이트웨이는 이 점에서 특히 골치 아픈 대상입니다. 하루 종일 일부러 신뢰할 수 없는 입력을 먹이는 게 이 장비의 본래 역할이기 때문입니다. 게다가 보통 인터넷에 직접 노출돼 있고, 내부의 모든 것으로부터 신뢰받으면서도 메일 흐름을 건드리고 싶어하지 않아 분기 단위로만 패치되는 유일한 장비입니다. RMM과 같은 Tier 0 논쟁과 같은 이야기입니다. 어플라이언스가 아니라, 생업으로 공격자가 조작하는 데이터를 파싱하는 기계라는 것입니다.

원문: SecurityWeek / 번역·요약: Trawling