시스코 방화벽 관리 서버 CVSS 10.0 결함 악용 확인 - 관리 화면이 인터넷에 열려 있는지 보세요

CVE-2026-20079 는 시스코 Secure Firewall Management Center(FMC) 소프트웨어의 웹 인터페이스에 있는 인증 우회 결함이다. The Hacker News 에 따르면 CVSS 점수는 10.0 이며, 인증받지 않은 원격 공격자가 인증을 우회해 스크립트를 실행하고 기반 운영체제의 root 권한을 얻을 수 있다.

Help Net Security 는 이 결함이 2026년 3월에 공개·수정됐고 시스코 소속 Brandon Sakai 가 발견했다고 전했다. 같은 보도에 따르면 시스코는 9월 9일 이 결함의 실제 악용을 확인했다. The Hacker News 는 시스코 PSIRT 가 8월에 악용을 인지했다고 전했다. 고쳐진 지 반년 가까이 지난 결함이 지금 공격에 쓰이고 있는 셈이다.

관측된 공격 세 갈래

The Hacker News 는 침해 이후 활동이 세 갈래(UAT-12197, UAT-11823, UAT-11988)로 구분됐고 웹셸과 악성코드 설치가 확인됐다고 전했다. Help Net Security 는 세 갈래를 이렇게 설명했다. 첫째 갈래는 악성 웹셸과 JAR 파일을 두고 자격증명을 빼낸다. 둘째 갈래는 두 결함을 함께 쓰며 `license.tmp` 파일을 고쳐 역방향 셸을 만들고 방화벽 설정을 수집하는데, 같은 보도는 이 갈래를 Sandworm 으로 추정된다고 전했다. 셋째 갈래는 고정 자격증명 결함을 써서 정찰과 자격증명 탈취를 하고 랜섬웨어를 배포하며, 보도는 Qilin 으로 추정된다고 적었다.

두 번째와 세 번째 갈래의 배후 지목은 보도에서 「추정」으로 표시된 내용이며, 확정된 귀속으로 읽을 근거는 이 보도에 없다.

Help Net Security 가 전한 조치는 두 가지다. 두 결함의 핫픽스를 곧바로 적용하는 것, 그리고 그것이 당장 어렵다면 FMC 관리 인터페이스가 인터넷에서 닿지 않도록 제한하는 것이다. 같은 보도는 더 폭넓은 보강 판이 9월 16일 주에 예정돼 있다고 전했다.