팔로우 Cisco는 자사 Secure Firewall Adaptive Security Appliance (ASA) 및 Secure Firewall Threat Defense (FTD) 소프트웨어의 원격 액세스 SSL VPN 서비스에 영향을 미치는 심각한 제로데이 취약점인 CVE-2026-76418에 대한 보안 업데이트를 발표했습니다. 이 결함은 야생에서 적극적으로 악용되고 있으며 인증되지 않은 원격 공격자가 취약한 방화벽을 다시 로드하여 서비스 거부(DoS) 상태를 유발하고 원격 액세스를 중단할 수 있습니다.
Cisco는 이 취약점에 CVSS 3.1 점수 8.6을 부여했습니다. 이 결함은 인증이나 사용자 상호작용이 필요하지 않으며 공격 복잡성이 낮습니다. 주요 보안 결과는 기밀성 또는 무결성 손상보다는 가용성 손실입니다. Cisco는 이 취약점이 원격 코드 실행과 관련이 있거나 데이터 도난이 확인되지 않았다고 밝혔습니다.
이 취약점은 특히 중요한데, 경계 보안 장비와 VPN 게이트웨이는 종종 인터넷에 직접 노출되어 기업 환경에 중요한 액세스를 제공하기 때문입니다. 반복적 악용은 영향을 받은 장비를 재시작하게 하여 원격 직원을 위한 VPN 연결을 끊을 수 있습니다.
Cisco는 자사 제품 보안 사고 대응 팀(PSIRT)이 활동적 악용을 인지한 후 2026년 10월 28일에 이 취약점을 공개했습니다. 이 문제는 원래 Cisco 기술 지원 센터의 지원 사건을 해결하는 동안 Eric Fernald에 의해 발견되었습니다.
CVE-2026-76418 검출을 위해 보안 팀은 인터넷에 위치한 Cisco ASA 및 FTD 장비에서 예상하지 못한 재시작, 반복적인 SSL VPN 연결 시도, 비정상적인 인증 활동, 원격 액세스 서비스에 영향을 미치는 가용성 중단을 우선 모니터링해야 합니다.
SOC Prime의 AI-Native Detection Intelligence Platform은 보안 팀이 취약점 악용 및 SIEM, EDR, 방화벽, 네트워크, ID 원격 측정을 통해 의심스러운 행동에 대한 가시성을 강화할 수 있게 합니다.
클릭 탐지 탐색 관련 탐지 내용 및 위협 사냥 논리에 접근하기 위해. CVE-2026-76418을 탐지하기 위해 방어자는 방화벽 구성 평가와 VPN 원격 측정, 장비 재시작 이벤트, 네트워크 활동, 인증 로그를 결합하여 악용 시도를 식별하고 노출을 확인해야 합니다.
CVE-2026-76418 분석
이 취약점은 Cisco Secure Firewall ASA 및 Secure FTD 소프트웨어의 원격 액세스 SSL VPN 기능에 존재합니다.
Cisco에 따르면, 터널 그룹에 이차 인증이 설정된 경우 발생하는 논리 오류가 근본 원인입니다. 인증되지 않은 공격자가 SSL 원격 액세스 VPN 서비스에 연결할 때 특별히 조작된 요청을 전송하여 예기치 않은 장치 재시작을 유발할 수 있습니다.
중요한 점은 성공적인 VPN 인증이 취약한 처리 경로에 도달하기 위해 필요하지 않다는 것입니다. 이는 공격 표면을 크게 증가시키며, 공격자는 유효한 VPN 자격 증명이 아닌 노출된 SSL VPN 서비스에 대한 네트워크 액세스만 필요합니다.
CVE-2026-76418에 대한 세부 내용에 따르면, 장치가 노출되기 위해 세 가지 주요 조건이 존재해야 합니다.
- 방화벽은 취약한 Cisco Secure Firewall ASA 또는 FTD 릴리스를 실행해야 합니다.
- SSL 원격 액세스 VPN 로그인 서비스에 접속할 수 있어야 합니다.
- 영향을 받는 터널 그룹 내에 이차 인증이 설정되어 있어야 합니다.
Cisco는 관리자가 먼저 SSL VPN 기능이 활성화되어 있는지 확인할 것을 권장합니다. ASA 시스템에서는 웹VPN이 인터페이스에서 SSL VPN이 활성화된 구성들을 추가로 검토해야 합니다. FTD 관리자는 Secure Firewall 관리 센터 또는 장치 관리자를 통해 배포된 원격 액세스 VPN 구성을 점검해야 합니다.
그 후 관리자는 터널 그룹을 점검해야 합니다.
secondary-authentication-server-group
터널 그룹 목록(enable)이 설정되어 있는 경우, 계정 접근 프로필보다 VPN 로그인 페이지에서 표시되는 연결 프로필만 확인해서는 충분하지 않다고 Cisco는 경고합니다.
터널 그룹 목록을 제거하거나 비활성화한다고 해서 자동으로 노출이 제거되지는 않습니다. DefaultWEBVPNGroup이 여전히 이차 인증을 사용하는 경우, 취약한 경로는 여전히 사용할 수 있습니다.
CVE-2026-76418은 이러한 구성 조건을 만족하고 취약한 소프트웨어 릴리스를 실행하는 Cisco Secure Firewall ASA 및 Secure FTD 배포에 영향을 미칩니다.
Cisco는 다음 제품들이 영향을 받지 않는다고 확인했습니다.
- 클라우드 기반 방화벽
- 클라우드 기반 방화벽 관리 센터
- Cisco Secure Access
- Secure Firewall 관리 센터 소프트웨어
이 결함은 확인되지 않은 반환값이 NULL 포인터 참조로 이어지는 CWE-690로 분류됩니다. Cisco의 CVSS 벡터는 네트워크 접근 가능성, 낮은 공격 복잡성, 필요한 권한 없음, 사용자 상호작용 없음, 높은 가용성 영향을 반영합니다.
성공적인 공격은 현재 공개된 정보에 따르면 방화벽에 대한 관리 액세스를 제공하지 않습니다. 대신 장비가 예기치 않게 다시 로드되어 가용성을 방해합니다.
네트워크 구조에 따라 반복되는 악용은 더 넓은 운영적 결과를 초래할 수 있습니다. 영향을 받은 방화벽은 직원, 관리자, 파트너, 또는 제3자 서비스에 원격 연결을 제공할 수 있습니다. 따라서 그 게이트웨이를 중단시키는 것은 데이터 손상 없이도 비즈니스 운영을 방해할 수 있습니다.
Cisco는 2026년 10월 동안 이 취약점을 악용한 공격이 있었다고 확인했지만, 해당 위협 행위자를 식별하거나 피해자 정보를 공개하지 않았습니다. CybersecurityNews도 역시 데이터 도난이나 원격 코드 실행과의 확인된 연결이 없다고 보고했습니다.
이 문제는 최근에 공개된 다른 Cisco 방화벽 취약점과 구별되어야 합니다. 이는 Cisco ASA 및 VPN 인프라에 영향을 미치는 이전에 보고된 결함과는 다른 기술적 원인 및 악용 경로를 가지고 있습니다.
작성 시점에서 Cisco의 권고 사항이나 제공된 보고서에서 재현 가능한 악용 코드를 포함한 공개 CVE-2026-76418 PoC를 제공하지 않습니다. 공개 증명 개념의 부재는 해결의 긴급성을 낮추지 않으며, 이미 실제 악용이 확인되었기 때문에 신속한 조치가 필요합니다.
Cisco는 또한 공격자 IP 주소, 도메인, 페이로드 해시, 또는 명명된 위협 인프라와 같은 캠페인 특정 CVE-2026-76418 IOC를 발표하지 않았습니다.
이는 수비수들이 정적인 지표에만 의존하지 말고 행동 및 구성 기반 탐색을 우선해야 함을 의미합니다.
잠재적 조사 지점은 다음과 같습니다.
- 관리자 또는 유지보수 설명 없이 발생한 ASA 또는 FTD의 예기치 않은 재시작
- 재실행 직전에 공용 SSL VPN 서비스에 대한 반복적인 연결
- 외부 인프라에서 발생한 비정상적인 원격 액세스 VPN 요청의 집적
- VPN 게이트웨이에 영향을 미치는 반복된 가용성 중단
- 방화벽 가동 시간이 예기치 않게 초기화됨
- 장치 재시작과 관련된 비정상적인 인증 활동
- 서비스 중단 이전에 동일하거나 관련된 IP 범위에서 반복된 연결
- 짧은 기간 동안 원인 불명의 장비 재시작이 여러 번 발생
팀은 방화벽 이벤트를 상류 네트워크 원격 측정과 상관시켜야 합니다. 로드 밸런서, 경계 라우터, DDoS 보호 시스템, IDS/IPS 플랫폼 또는 외부 모니터링 도구가 방화벽의 가용성이 갑자기 떨어지기 직전에 발생한 연결에 대한 증거를 보유하고 있을 수 있습니다.
방화벽 자체가 반복적으로 재시작되면 일부 휘발성 진단 정보가 손실될 수 있으므로 이 원격 측정을 보존하는 것이 특히 중요합니다.
조직은 또한 공격자가 악용 전후에 다른 활동을 시도했는지를 파악해야 합니다. Cisco는 현재 이 취약점을 서비스 거부 결함으로 분류하므로, 수비수는 장치 충돌을 방화벽 전체가 손상된 증거로 자동으로 해석하지 말아야 합니다.
그러나 인터넷에 노출된 보안 장비의 설명되지 않은 재시작은 야생에서 악용이 확인되었을 때 여전히 조사를 요합니다.
CVE-2026-76418 완화
Cisco는 수정된 ASA 및 FTD 소프트웨어를 출시했으며, 근본적인 취약점을 완전히 해결하는 해결방법이 없기 때문에 업그레이드할 것을 강력히 권장합니다.
첫 수정 Cisco Secure Firewall ASA 릴리스는:
| ASA 릴리스 브랜치 | 첫 수정 릴리스 |
| 9.16 및 이전 | 9.16.4.104 |
| 9.18 | 9.18.4.96 |
| 9.20 | 9.20.4.50 |
| 9.22 | 9.22.3.200 |
| 9.23 | 9.23.1.48 |
| 9.24 | 9.24.1.27 / 9.24.10.1 |
Secure FTD에 대한 Cisco의 목록:
| FTD 릴리스 브랜치 | 첫 수정 릴리스 |
| 7.0 및 이전 | 7.0.11 |
| 7.2 | 7.2.13 |
| 7.4 | 7.4.9 |
| 7.6 | 7.6.7 |
| 7.7 | 7.7.14 |
| 10.0 | 10.0.3 |
| 10.1 | 10.1.1 |
조직은 Cisco의 소프트웨어 검사기 및 호환성 문서를 사용하여 특정 하드웨어 및 현재 설치된 소프트웨어 브랜치에 대한 올바른 수정 릴리스를 결정해야 합니다.
Cisco는 취약점을 완전히 해결하는 해결책을 나열하지 않았지만, 이차 인증과 관련된 임시 구성 완화 조치를 문서화합니다.
권장되는 CVE-2026-76418 완화 터널 그룹이 어떻게 구성되었는지에 따라 달라집니다.
DefaultWEBVPNGroup이 이차 인증을 사용하지 않는 경우, 관리자는 다음을 사용하여 터널 그룹 목록을 비활성화할 수 있습니다.
no tunnel-group-list enable
이것은 사용자가 목록에서 연결 프로파일을 선택하는 것을 방지하고 올바른 프로파일을 알아야 하도록 합니다.
DefaultWEBVPNGroup이 이차 인증을 사용하는 경우, 관리자는 다음을 사용하여 이를 제거할 수 있습니다.
no secondary-authentication-server-group
그러나 Cisco는 이차 인증을 제거하는 것이 원격 액세스 VPN 인증의 보안 태세를 줄인다고 경고합니다. 따라서 조직은 이를 배포하기 전에 이 임시 조치를 신중히 평가해야 합니다.
이러한 변경사항은 패치의 대체가 아니라, 임시 리스크 감소 조치로 고려해야 합니다.
악용이 이미 발생하고 있기 때문에 조직은 다음을 우선적으로 시스템을 고려해야 합니다.
- 인터넷에 노출된
- 취약한 ASA 또는 FTD 릴리스를 실행하는
- SSL 원격 액세스 VPN 연결성을 제공하는
- 이차 인증을 사용하는
- 중요한 원격 근무자 또는 관리 연결성을 지원하는
보안 팀은 또한 고가용성 또는 장애 조치 아키텍처가 업그레이드 중에 운영 중단을 줄일 수 있는지 확인해야 합니다.
업데이트를 적용한 후 실행 중인 소프트웨어 버전을 확인하고 장비가 성공적으로 서비스에 복귀했는지 확인하십시오.
관리자는 패치 전 기간 동안의 시스템 로그를 검토하여 설명되지 않은 재시작 또는 다른 악용 징후를 찾는 것이 좋습니다.
의심스러운 활동이 확인되면 관련된 항목을 보존하십시오.
- ASA 또는 FTD 시스템 로그
- 원격 액세스 VPN 로그
- 인증 원격 측정
- 방화벽 구성 기록
- 상류 네트워크 흐름 데이터
- 외부 모니터링 데이터
- 이차 인증과 관련된 ID 제공자 로그
Cisco가 가용성 충격만을 공개했기 때문에, 대응자는 확인된 증거를 추측과 구별해야 합니다. 예기치 않은 방화벽 재시작이 자체적으로 공격자가 구성 파일, 자격 증명 또는 코드 실행을 획득했다는 것을 확립하지 않습니다.
그럼에도 불구하고 원인 불명의 장비 재시작을 경험하는 조직은 공격자가 동시에 다른 기술을 시도하지 않았는지 확인하기 위해 인접 시스템 및 인증 활동을 검토해야 합니다.
관리자는 공개된 악용 코드가 없다는 이유만으로 업그레이드를 지연시키지 않아야 합니다. 실제 공개 전에 악용이 발생했으며, 이는 적어도 한 명의 공격자가 이미 취약한 행동을 유발할 수 있는 역량을 가지고 있음을 보여줍니다.
면책조항: 모든 CVE에 대해 탐지 콘텐츠가 제공되지 않을 수 있습니다. 현재 범위를 확인하려면 SOC Prime Platform을 확인하십시오. 관련 탐지가 아직 제공되지 않은 경우, 새로운 위협 정보와 탐지 콘텐츠가 지속적으로 추가되고 있으므로 다시 확인하십시오.
FAQ
CVE-2026-76418이 무엇이며 어떻게 작동하나요?
CVE-2026-76418은 Cisco Secure Firewall ASA 및 Secure FTD 소프트웨어의 원격 액세스 SSL VPN 기능에 있는 고위험 서비스 거부 취약점입니다. 이 취약점은 영향받는 터널 그룹에 이차 인증이 설정될 때 트리거되는 논리 오류에 의해 발생합니다. 인증되지 않은 원격 공격자는 SSL VPN 서비스에 조작된 요청을 보내고 방화벽이 예기치 않게 다시 로드되도록 할 수 있습니다. 취약한 처리 경로에 도달하기 위해 성공적인 VPN 로그인이 필요하지 않습니다.
CVE-2026-76418은 언제 처음 발견되었나요?
Cisco는 2026년 10월 28일에 공개적으로 이 취약점을 공개했습니다. 이 문제는 Cisco 기술 지원 센터 지원 사건을 해결하는 동안 Eric Fernald에 의해 확인되었습니다. Cisco PSIRT는 2026년 10월 동안에 이미 현실 세계 환경에서 이 취약점을 악용한 공격자를 인지하게 되었습니다.
CVE-2026-76418이 시스템에 미치는 영향은 무엇인가요?
성공적인 악용은 영향받은 Cisco ASA 또는 FTD 장비를 강제로 다시 로드해 서비스 거부 상태를 일으키며, 방화벽 또는 원격 액세스 VPN 가용성을 방해할 수 있습니다. Cisco는 이 취약점에 CVSS 점수 8.6을 할당하며 높은 가용성 영향을 가지지만, 현재 문서화된 기밀성 또는 무결성 영향을 기재하고 있지는 않습니다. 공급업체는 결함으로 인한 원격 코드 실행이나 데이터 도난이 보고되지 않았다고 합니다.
2026년에도 CVE-2026-76418가 여전히 영향을 미칠 수 있나요?
네. 이 취약점은 여전히 악용되고 있으며 SSL 원격 액세스 VPN 서비스에 접근할 수 있으며 영향받는 터널 그룹에서 이차 인증이 구성된 취약한 Cisco ASA 또는 FTD 릴리스를 실행하는 조직에 대한 위험이 남아 있습니다. Cisco의 수정된 소프트웨어 릴리스로 업그레이드된 시스템은 권고 사항에 설명된 취약점으로부터 보호됩니다.
CVE-2026-76418로부터 어떻게 자신을 보호할 수 있나요?
Cisco Secure Firewall ASA 또는 FTD 소프트웨어를 Cisco의 보안 권고 사항에 나열된 적절한 수정 릴리스로 업그레이드하세요. 관리자는 또한 SSL 원격 액세스 VPN이 활성화되어 있는지 여부를 확인하고 이차 인증에 대해 모든 관련 터널 그룹을 점검하며 DefaultWEBVPNGroup 구성을 검토해야 합니다. 즉각적인 패치가 불가능할 경우, Cisco는 터널 그룹 목록을 비활성화하거나 이차 인증을 제거하는 임시 완화 옵션을 제공합니다. 이러한 변경은 기능에 영향을 줄 수 있거나 인증 보안을 줄일 수 있기 때문에 신중히 평가하고 영향을 받는 장비가 업그레이드될 때까지 잠시 동안만 사용해야 합니다.
