시스코(Cisco)의 보안 방화벽 관리 제품인 시큐어 방화벽 관리센터(Secure Firewall Management Center, FMC) 소프트웨어에서 실제 공격에 이용된 제로데이 취약점이 발견됐다. 미국 사이버보안·인프라보안국(CISA)은 이 결함을 알려진 악용 취약점(KEV) 목록에 등재하고 연방 민간기관에 8월 1일까지 패치를 마치라고 지시했다. 취약점 번호는 CVE-2026-20316으로, 웹 인터페이스에 심어진 고정 계정 정보 때문에 인증 절차 없이도 낮은 권한의 계정으로 시스템에 로그인할 수 있는 결함이다. 시스코는 이미 여러 버전의 핫픽스를 배포했고, 침해 여부를 확인할 수 있는 지표도 함께 공개했다. 특히 이번 결함이 지난 3월 패치된 또 다른 크리티컬 취약점과 함께 악용될 가능성이 제기되면서 방화벽 관리 인프라 전반에 대한 긴장이 커지고 있다.

웹 인터페이스에 박혀 있던 ‘고정 계정정보’가 문제

이번 취약점의 근본 원인은 시큐어 FMC 웹 인터페이스에 낮은 권한 계정의 자격증명이 하드코딩돼 있었다는 점이다. 시스코는 이를 CWE-259로 분류했다. 정적 비밀번호 사용에 해당하는 취약점 유형이다. 공격자는 별도의 인증 절차 없이 이 계정 정보를 그대로 활용해 원격으로 시스템에 로그인할 수 있다. 시스코는 지난 수요일 공개한 보안 권고에서 “이 취약점은 낮은 권한 계정에 대한 정적 사용자 자격증명이 존재하기 때문에 발생한다”고 설명했다. 이어 “공격자는 이 계정을 이용해 시스템에 로그인함으로써 이 취약점을 악용할 수 있다”고 덧붙였다.

성공적으로 악용되면 공격자는 해당 저권한 계정 수준에서 접근 가능한 민감 데이터를 열람할 수 있다. 시스코는 관리 인터페이스가 공개 인터넷에 노출돼 있지 않다면 공격 표면이 줄어든다고 밝혔지만, 내부자나 이미 침투한 시스템을 통한 공격 가능성은 여전히 남는다고 지적했다. 이번 취약점은 보안업체 호라이즌3.ai(Horizon3.ai)의 연구자 지미 세브리(Jimi Sebree)가 발견해 보고했다.

CVSS 5.3인데 ‘고위험’…다른 취약점과 결합 가능성 때문

CVE-2026-20316의 CVSS 3.1 기준 점수는 5.3으로 중간 수준에 그친다. 그런데도 시스코는 보안영향등급(SIR)을 ‘높음(High)’으로 매겼다. 이유는 이 결함이 시큐어 FMC 소프트웨어의 다른 취약점과 연쇄적으로 결합돼 권한 상승으로 이어질 수 있다는 점 때문이다. 단독으로는 저권한 계정 접근에 그치지만, 다른 결함과 함께 악용될 경우 피해 범위가 크게 확대될 수 있다는 뜻이다.

실제로 시스코는 같은 날 지난 3월 패치된 크리티컬 취약점 CVE-2026-20079의 권고문도 함께 업데이트했다. CVE-2026-20079는 CVSS 점수가 10.0에 달하는 인증 우회 결함으로, 임의의 실행 스크립트 파일을 구동해 루트 권한까지 획득할 수 있는 취약점이다. 시스코는 이 취약점에 대해서는 악성 악용을 인지하지 못했다고 밝혔지만, 두 취약점의 침해지표가 동일한 파일(/var/tmp/license.tmp)을 가리킨다는 점에서 공격자가 두 결함을 연쇄적으로 엮어 코드 실행까지 노렸을 가능성이 제기된다.

핫픽스와 침해지표 공개…자격증명 전면 교체 권고

시스코는 CVE-2026-20316에 대한 핫픽스를 시큐어 FMC 소프트웨어 7.0, 7.2, 7.4, 7.6, 7.7, 10.0 버전에 각각 배포했다. 별도의 우회 방법(워크어라운드)은 존재하지 않아 해당 핫픽스를 적용하는 것이 유일한 완전한 해결책이다. 시스코 제품보안사고대응팀(PSIRT)은 지난 7월 실공격을 인지했다고 밝혔지만, 공격이 정확히 언제 시작됐는지, 누가 배후인지, 어떤 방식으로 악용되고 있는지는 공개하지 않았다.

관리자는 전문가 모드에서 “cat /var/log/messages | grep license” 명령을 실행해 침해 여부를 확인할 수 있다. 로그에 “/var/tmp/license.tmp” 항목이 남아 있다면 취약점이 악용됐을 가능성이 있다는 신호다. 시스코는 의심스러운 활동이 발견되면 기술지원센터(TAC)에 연락하고, 해당 FMC 기기에 저장된 모든 사용자 자격증명과 키, 인증서를 교체하라고 권고했다. 공격이 지속적으로 이뤄지고 있는 만큼 자격증명 교체가 필수적이라는 설명이다.

다만 이번 결함은 시큐어 FMC 소프트웨어에만 영향을 미친다. 클라우드에서 제공되는 cdFMC(Cloud-Delivered FMC), 방화벽 디바이스 관리자(Firewall Device Manager, FDM), 시큐어 방화벽 ASA 소프트웨어, 시큐어 방화벽 위협방어(Threat Defense, FTD) 소프트웨어, 시큐리티 클라우드 컨트롤(Security Cloud Control, SCC)은 이번 취약점의 영향을 받지 않는다고 시스코는 확인했다.

반복되는 네트워크 장비 실공격, 방화벽 관리체계 전반 재점검 필요

CISA는 7월 29일(현지시각) CVE-2026-20316을 알려진 악용 취약점 목록에 추가하며 연방 민간기관에 8월 1일까지 조치를 완료하라고 지시했다. 민간 기업에도 사실상 동일한 시급성이 적용되는 셈이다. 보안 업계에서는 관리 인터페이스를 공개 인터넷에 노출시키지 말고, 인증·시스템 로그를 상시 모니터링하며 비정상적인 관리자 활동 여부를 점검하라고 권고하고 있다.

시스코는 최근 몇 달간 카탈리스트 SD-WAN 매니저(Catalyst SD-WAN Manager)와 유니파이드 커뮤니케이션 매니저(Unified Communications Manager) 등 다른 제품에서도 실공격을 인지한 바 있다. 네트워크 장비의 핵심 관리 시스템을 겨냥한 공격이 잇따르고 있는 흐름 속에서, 이번 FMC 제로데이 역시 방화벽 관리 체계 전반의 보안 점검이 시급하다는 경고로 받아들여진다.