누가 네트워크에 들어올지는 Cisco의 Identity Engine이 정한다. 인증 없는 요청 한 번이 그 질문을 건너뛴다

Cisco는 9월 16일 Identity Services Engine의 결함에 대해 긴급 권고를 공개했다. ISE는 어떤 사용자와 기기를 사내 네트워크에 들여보낼지 판단하기 위해 대다수 대기업이 쓰는 장비다. CVE-2026-76460의 CVSS 기본 점수는 상한인 10.0이고, Cisco 제품 보안팀은 이미 공격에 쓰이고 있다고 밝혔다. 우회책은 없다. CISA는 같은 날 이 취약점을 Known Exploited Vulnerabilities 목록에 올리고 연방 민간기관의 조치 기한을 9월 19일로 정했다. 이 제도에서 설정할 수 있는 거의 가장 짧은 사흘이다.

Cisco 장비가 권고에서 실제 악용으로 넘어간 것은 한 주 사이 두 번째다. 이틀 전 공개된 Secure Email Gateway 결함에 이어서다. 이 흐름에는 이름을 붙여둘 만하다. 공격받는 제품은 카탈로그 구석의 무명 품목이 아니다. 네트워크 정문에 놓여 있고, 설계상 낯선 상대의 트래픽을 받아들이도록 되어 있는 장비다.

결함의 내용

Cisco는 이 결함을 API 엔드포인트의 인증 제어 미흡이라고 설명한다. 회사의 표현은 이렇다.

공격자는 영향을 받는 API 엔드포인트에 조작된 요청을 보내 이 취약점을 악용할 수 있다. 악용에 성공하면 공격자는 웹 기반 관리 인터페이스를 우회해 해당 장비에 무단으로 접근할 수 있다.

방어자에게 중요한 지점은 두 가지다. 첫째, 자격 증명도 사전 거점도 필요하지 않다. 공격자가 특정한 누구일 필요가 없고, 장비 설정이 어떻든 영향을 받는다. 둘째, 악용에 성공하면 root 권한으로 명령을 실행하는 데까지 이어질 수 있다고 Cisco가 밝혔다는 점이다. 장비의 일부가 아니라 전체를 말한다.

악용 여부에 대한 Cisco의 설명에는 모호함이 없다.

Cisco PSIRT는 이 취약점이 실제로 악용되고 있음을 인지하고 있다. Cisco는 이 취약점을 해소하기 위해 수정된 소프트웨어 릴리스로 업그레이드할 것을 강력히 권고한다.

영향 범위

ISE와 ISE Passive Identity Connector(ISE-PIC)는 지원 대상 계열 전체가 영향을 받는다. 안전한 브랜치란 없다.

수정은 ISE의 9월 하드닝 릴리스에 담겨 나왔다. Cisco는 이것이 외부 제보가 아니라 내부 보안 검토에서 나온 결과라고 설명한다. The Hacker News는 같은 기간에 공개된 취약점을 76건으로 집계했다. 그중 41건이 ISE, 28건이 Secure Firewall 제품이며, 마찬가지로 10.0으로 평가된 또 다른 결함도 포함된다. 악용이 확인된 것은 CVE-2026-76460 하나뿐이다.

왜 이 장비의 root가 다른 장비의 root보다 나쁜가

ISE는 민감한 데이터를 우연히 담고 있는 서버가 아니다. 정책 결정 지점 그 자체다. 노트북이 사내 네트워크에 붙을 수 있는지, 협력업체 단말이 게스트 VLAN으로 떨어지는지, 관리자가 스위치 셸을 얻는지를 분당 수천 번씩 답한다. 그 일을 하기 위해 디렉터리 연동 계정, RADIUS와 TACACS+ 공유 시크릿, 인증서, 그리고 인가 정책 자체를 보관한다.

따라서 ISE에서 root를 쥔 공격자는 장비 한 대를 가져가는 데 그치지 않는다. 나머지 모두가 어디까지 닿을 수 있는지 정하는 규칙을 손에 넣는다. 그리고 하위 장비들이 아무 의심 없이 따를 규칙을 자기 앞으로 하나 써넣을 수 있다. ISE가 내린 정책을 따르는 트래픽은 침입처럼 보이지 않는다. 네트워크가 정상 동작하는 것처럼 보인다.

두 번째 문제는 증거다. Cisco는 root 권한이면 공격자가 침해 지표를 숨기거나 지울 수 있다고 경고했고, ISE는 흔히 누가 무엇에 인증했는지를 기록하는 시스템이기도 하다. ISE가 뚫렸다는 것은 침해 범위를 가늠할 때 쓸 로그 자체가 손상됐다는 뜻이다. 패치는 문을 닫는다. 이미 누가 지나갔는지는 알려주지 않는다.

사흘이라는 숫자

KEV 목록에서 CISA의 표준 조치 기한은 주 단위로 매겨진다. 사흘은 설치 기반이 넓고 악용이 예측이 아니라 현실이라고 판단할 때 꺼내는 숫자다. 몇 곳이 피해를 입었는지는 공개된 기록에 없고, Cisco도 이 활동을 누가 발견했는지 밝히지 않았다. 그러나 기한의 길이는 확신의 표명이며, 그것이 권고 공개와 같은 날 정해졌다.

지금 할 일

자신의 브랜치에 해당하는 수정 릴리스로 패치할 것. 대체할 설정 변경은 없고, 관리 인터페이스 접근을 제한하는 통상적인 완화책으로도 이 결함은 막히지 않는다.

패치 전에 도달 가능했던 ISE는 깨끗한 것이 아니라 의심스러운 것으로 다룰 것. Cisco의 조언대로 관리자 접근 로그를 검토하되, 장비 바깥에 보관한 사본과 대조할 것. root를 쥐었다면 장비에 남은 기록은 고칠 수 있었기 때문이다. 그리고 이 장비가 쥐고 있는 것들을 교체할 것. 공유 시크릿, 디렉터리 서비스 계정, 관리자 자격 증명, 인증서다.

그런 다음 관리 평면을 굳이 볼 필요 없는 네트워크에서 떼어낼 것. 그렇게 해도 CVE-2026-76460이 고쳐지지는 않는다. 다만 다음 결함에 손이 닿을 수 있는 사람의 수는 줄어든다.

Sources: Cisco Security Advisory: Cisco Identity Services Engine Hardening Release: September 2026 · BleepingComputer: Cisco warns of max severity ISE zero-day exploited in attacks · The Hacker News: Cisco Warns of New Zero-Day ISE Auth Bypass (CVSS 10.0) Exploited in Active Attacks · SecurityWeek: Active Exploitation Triggers Emergency Patch for Cisco ISE Zero-Day · CISA: Known Exploited Vulnerabilities Catalog