Cisco ISE 제로데이 실제 공격 악용 확인 — CVSS 10점 인증 우회 취약점 긴급 패치

본문

Cisco가 수요일(현지 시각) 자사 네트워크 접근 제어 솔루션 Identity Services Engine(ISE)의 치명적 인증 우회 취약점에 대한 긴급 패치를 공개했습니다. CVE-2026-76460으로 추적되는 이 결함은 CVSS 점수 10점 만점을 기록했으며, 이미 제로데이 상태로 실제 공격에 악용된 것이 확인됐습니다.

취약점의 성격과 영향 범위

문제는 어플라이언스의 API 엔드포인트가 충분한 인증 통제를 적용하지 않는다는 점입니다. 공격자는 조작된 요청을 API로 전송해 웹 기반 관리 인터페이스를 우회하고 영향받는 장치에 접근할 수 있습니다. Cisco ISE와 ISE Passive Identity Connector(ISE-PIC) 모두 장치 구성과 무관하게 영향을 받습니다. 별도의 워크어라운드는 존재하지 않지만, 인프라 접근 제어 목록(iACL)으로 해당 장치로 향하는 트래픽을 제한하면 원격 악용을 차단할 수 있다고 Cisco는 설명합니다.

패치 버전은 ISE 또는 ISE-PIC 3.5 Patch 4, 3.4 Patch 7, 3.3 Patch 12, 3.2 Patch 11, 3.1 Patch 12입니다. Cisco PSIRT는 "이 취약점의 실제 악용을 인지하고 있으며, 고객은 수정된 소프트웨어 릴리스로 업그레이드할 것을 강력히 권장한다"고 밝혔습니다. 공격 배후에 대한 정보는 공개되지 않았으나, 사이버 범죄자와 국가 지원 위협 행위자 모두 Cisco 제품의 취약점을 상시적으로 노려왔습니다.

침해 여부 점검 방법과 주의점

Cisco는 잠재적 침해를 탐색하기 위해 'access.log'에서 의심스러운 사용자명을 검토하라고 권고합니다. 분산 배포 환경에서는 각 노드의 로그를 개별적으로 확인해야 하며, 출력에 어떤 항목이라도 존재하면 악의적 활동을 의미할 수 있습니다. 악의적 활동이 의심되면 해당 노드를 리이미징하고 필요시 구성 백업에서 복원할 것을 강력히 권장한다고 덧붙였습니다.

특히 주목할 점은 CVE-2026-76460의 악용에 성공한 공격자가 root 권한으로 명령을 실행할 수 있다는 것입니다. 이는 침해 지표(IoC)를 숨기거나 삭제하는 것이 가능하다는 뜻이므로, 장치 내부 로그만으로는 안심할 수 없습니다. Cisco는 영향받는 장치 외부의 네트워크 로그와 방화벽 로그를 교차 확인해 예상치 못한 업로드·다운로드 같은 흔적을 찾으라고 조언합니다.

CISA KEV 등재

미국 사이버보안청(CISA)은 같은 날 이 제로데이를 Known Exploited Vulnerabilities(KEV) 카탈로그에 추가하고, BOD 26-04 요건에 따라 연방 기관에 3일 이내 패치를 지시했습니다. ISE는 스위치, 무선 컨트롤러, VPN 헤드엔드가 접속을 허용하기 전에 문의하는 인증 권한의 핵심이므로, 이 지점이 뚫리면 단일 장치 침해를 넘어 네트워크 접근 통제 전체가 무력화될 수 있습니다.

Reddit 반응

• @u/Hour-Swimmer7140 — 이게 어떤 장비인지는 짚고 넘어갈 가치가 있습니다. ISE는 모든 스위치, 무선 컨트롤러, VPN 헤드가 누구든 접속을 허용하기 전에 먼저 묻는 대상입니다. 여기서 인증 우회가 일어나면 어플라이언스 하나가 뚫리는 게 아니라, 나머지 접근 제어가 기대는 권한 자체가 뚫리는 겁니다. 그리고 탐색 절차는 노드별로 수행해야 합니다. 분산 배포는 PAN, MNT, PSN으로 역할이 나뉘고, 확인해야 할 access.log가 관리자가 실제로 로그인하는 관리 노드뿐 아니라 각 노드에 존재합니다. 절반만 하고 깨끗하다고 선언하기 쉬운 부분입니다.
• @u/itsbond — 누가 ISE 관리 노드를 이런 식으로 외부에 노출하나요? 해당 API 엔드포인트는 NAC 인증의 일부가 아닙니다. CVE 설명이 잘못 쓰였거나 제가 뭔가 놓치고 있는 것 같습니다.

원문: SecurityWeek / 번역·요약: Trawling