Cisco 이메일 게이트웨이가 또 root를 넘기고 있다. 이번에는 수정판이 한 달째 놓여 있었다

Cisco는 10월 14일 CVE-2026-76519에 대한 권고문 cisco-sa-esa-afw-zqYJkjxp를 공개했다. Secure Email Gateway용 AsyncOS의 Advanced Malware Protection(AMP) 기능에 존재하는 임의 파일 쓰기 취약점으로, CVSS 기본 점수는 9.8이다. 인증되지 않은 원격 공격자가 조작된 첨부파일이 담긴 메시지를 게이트웨이로 보내면, 파일 평판(File Reputation) 서비스가 이를 제대로 처리하지 못해 기반 운영체제에 파일이 기록되고 명령이 root 권한으로 실행된다. 우회책은 없다. Cisco PSIRT는 2026년 10월에 실제 악용을 인지했고, CISA는 이 취약점을 알려진 악용 취약점(KEV) 목록에 올리면서 연방기관의 조치 기한을 10월 17일로 정했다.

이 버그를 찾아낸 것은 Cisco 자신으로, 내부 보안 스캔 과정에서였다. 흥미로운 대목은 그다음이다. SecurityWeek에 따르면 이를 수정하는 릴리스인 AsyncOS 15.5.5-014와 16.5.0-780은 9월 14일에 출시됐고, 당시 권고문에서는 CVE-2026-76440으로 묶여 있었다. 그리고 Cisco는 수요일, 새 전용 권고문과 함께 그 9월 권고문도 갱신해 실제 악용 사실을 기록했다. 패치는 한 달째 선반 위에 놓여 있었던 것이다. 새로운 것은 누군가가 이 구멍을 쓰기 시작했다는 사실이다.

영향을 받는 범위

물리 장비와 가상 장비 모두 해당된다. Cisco는 Secure Email and Web Manager와 Secure Web Appliance는 영향을 받지 않으며, 자사가 운영하는 Secure Email Cloud Gateway 환경은 이미 수정됐다고 밝혔다.

노출을 결정하는 버전 번호는 당신이 추적하는 쪽이 아니다

장비가 취약한 것은 두 조건이 동시에 성립할 때뿐이다. File Reputation 서비스가 활성화되어 메일 정책에 할당돼 있어야 하고, Content Scanner Tools 버전이 25.3.0.5525보다 낮아야 한다.

첫 번째 조건은 9월 취약점보다 좁다. 그쪽은 수신 메일 파싱에 있었으므로 제 역할을 하는 모든 게이트웨이에 해당됐다. 이번 것은 악성코드 검사 기능을 켜두었을 것을 전제로 한다 — 다시 말해, 이 장비를 구입해 데이터시트가 권하는 대로 설정한 조직들이 대상이다.

곱씹어볼 가치가 있는 쪽은 두 번째 조건이다. Content Scanner Tools는 AsyncOS와 별도로 버전이 관리되며 독립적으로 갱신되는 패키지이고, Cisco는 25.3.0.5525로 올리는 데 소프트웨어 업그레이드도 재시작도 필요하지 않다고 적었다. 조치 시간 측면에서는 좋은 소식이지만 자산 관리 측면에서는 나쁜 소식이다. 자산 데이터베이스, 취약점 스캐너, 변경 티켓은 모두 펌웨어와 OS 릴리스 계열을 축으로 설계돼 있다. 배경에서 조용히 자기를 갱신하는 스캔 엔진 패키지 — 다만 몇 년 전 누군가가 자동 갱신을 끄고 이미 퇴사해버린 장비는 예외 — 는 대부분의 조직이 질의할 수 있는 항목이 아니다. Cisco 권고문은 CLI 명령을 제시한다. 버전을 읽으려면 contentscannerstatus, 받아오려면 contentscannerupdate. 대부분의 팀에게는 이 점검을 돌리는 편이 CMDB에서 답을 찾는 것보다 빠를 것이다.

장비는 스스로에게 무죄를 선고할 수 없다

Cisco의 침해 지표 확인 절차는 각 클러스터 구성원에서 grep "System Security" system_logs를 실행하고 결과를 읽는 것이다. 침해 의심 지표가 나오면 권고문의 권고 절차를 따르고, 보안 스캔이 완료되지 않았으면 TAC에 연락하고, 지표가 없으면 아직 적용하지 않았다면 수정판으로 업그레이드한다.

그다음 권고문은 자신의 이 점검에 — 옳게 — 유보를 단다. 악용이 성공하면 root 권한이 넘어가므로 공격자가 증거를 지우거나 숨길 수 있다. 그래서 Cisco는 관리자들에게 네트워크와 방화벽 로그를 대조해 외부 주소로의 예상치 못한 업로드나 알려진 악성 IP로부터의 다운로드를 확인하라고 요구한다. 지난달과 같은 논점이고, 그 타당성은 조금도 줄지 않았다. root를 쥔 공격자가 통제하지 못한 기록은 다른 곳에 보관된 것들뿐이다.

권고문에는 배치된 위치보다 훨씬 더 주의를 기울일 만한 항목이 두 가지 더 있다. 클러스터 내 장비들은 SSH 키를 공유하므로, 한 대의 침해는 나머지 전부를 의심하게 만든다. 그리고 가상 장비에서는 업그레이드가 포렌식 증거를 파괴한다 — 따라서 로그 점검 결과가 나쁘게 나오면 스냅숏은 패치 이전에 떠야 한다. 침해된 가상 장비에 대해 Cisco가 제시하는 복구 경로는 애초에 패치가 아니다. 깨끗한 상태로 재배포하고, 기존 설정 파일을 불러오지 않은 채 구성을 다시 세우고, 그 장비가 쥐고 있던 모든 자격 증명과 키를 교체하는 것이다.

이 형태는 계속 반복된다

9월 중순 이후 실제로 악용된 Secure Email Gateway 취약점으로는 이번이 두 번째이며, 첫 번째는 CVE-2026-76461이었다. Security Affairs는 2025년 12월 이후 Cisco 이메일 게이트웨이 제품군에서 root 획득에 사용된 취약점으로 이번이 세 번째라고 센다. 이 구도는 Cisco만의 이야기가 아니다. 메일 게이트웨이는 노출을 줄이려고 구입되고, 낯선 사람들의 적대적 입력을 받아들여야 하는 자리에 놓이고, root 권한으로 동작하며, 애플리케이션이 아니라 네트워크 장비의 주기로 패치된다. 거기에 첨부파일 검사를 얹어도 이 계산은 바뀌지 않는다 — 검사되는 표면만 넓어진다.

9월 AsyncOS 업데이트를 적용한 조직은 아마 이미 보호돼 있다. 아직 노출된 쪽은 콘텐츠 스캐너가 움직이지 않은 조직이다. 어느 쪽인지 확인하는 데는 명령 하나면 된다.

Sources: Cisco Security Advisory cisco-sa-esa-afw-zqYJkjxp · SecurityWeek: Cisco Warns of Exploited Secure Email Gateway Vulnerability · CSO Online: Cisco warns of actively exploited Secure Email Gateway flaw · Help Net Security: CISA flags exploited flaws in Palo Alto, Cisco and Ahsay products · Security Affairs: Cisco urges customers to patch email gateway flaw and check for compromise · CISA Known Exploited Vulnerabilities Catalog