팔로우 Cisco는 실제 공격에서 이미 악용되고 있는 Cisco Secure Email Gateway (SEG)에 영향을 미치는 중대한 제로데이 취약점인 CVE-2026-76519를 패치했습니다. 이 결함은 CVSS 점수 9.8을 가지며 인증되지 않은 원격 공격자가 취약한 장비에서 루트 권한으로 임의의 파일을 작성하고 명령을 실행할 수 있도록 합니다.
취약점은 Cisco Secure Email Gateway의 Advanced Malware Protection (AMP) 기능에 존재하며, File Reputation 서비스가 활성화되었을 때 이메일 첨부 파일을 부적절하게 처리하는 데서 비롯됩니다. 공격자는 영향을 받은 게이트웨이를 통해 특수하게 조작된 첨부 파일을 포함한 이메일을 보내는 것만으로 문제를 악용할 수 있으며 자격 증명이나 사용자 상호작용이 필요하지 않습니다.
Cisco는 2026년 10월 14일, 제품 보안 사고 대응팀 (PSIRT)이 10월 중 적극적인 악용을 인지하면서 이 취약점을 공개했습니다. 회사는 공격자가 누구인지, 몇 개의 장비가 손상되었는지, 또는 접근 후 공격자가 무엇을 했는지 공개하지 않았습니다.
취약점은 주로 Secure Email Gateway 장비가 기업 이메일 인프라에 직접 위치하기 때문에 특히 우려됩니다. 루트 권한으로 성공적인 손상은 공격자에게 보안 장비에 대한 광범위한 제어, 자격 증명 및 암호화 자료에 대한 접근, 그리고 추가 시스템으로의 잠재적인 경로를 제공할 수 있습니다.
CISA는 이 결함을 알려진 악용 취약점 카탈로그에 추가했으며, 적용 가능한 미국 연방 민간 기관들이 2026년 10월 17일까지 이를 수정하도록 요구하고 있습니다.
조직은 SOC Prime의 AI-Native Detection Intelligence Platform을 활용하여 신흥 취약점에 대한 방어를 강화하고 위협 헌팅, 조사, 탐지 엔지니어링을 SIEM, EDR, XDR, 및 데이터 레이크 환경 전반에서 가속화할 수 있습니다.
보안 전문가들은 또한 Prime Architect를 사용하여 신흥 위협 인텔리전스를 탐지 논리로 전환하고, 지표를 헌팅 쿼리로 변환하며, 기존 규칙을 세밀하게 조정하고 탐지를 조직의 원격 계측에 맞출 수 있습니다.
CVE-2026-76519 분석
CVE-2026-76519는 File Reputation 서비스가 활성화되고 메일 정책에 할당되었으며 설치된 Content Scanner Tools 버전이 25.3.0.5525 이전인 경우 두 가지 조건이 있을 때 취약한 Cisco AsyncOS 릴리스를 실행하는 물리적 및 가상 Cisco Secure Email Gateway 장비에 영향을 미칩니다.
Cisco는 이 취약점을 CWE-23, 상대 경로 탐색으로 분류합니다. Advanced Malware Protection 기능에서 이메일 첨부 파일을 부적절하게 처리하면 특별히 조작된 첨부 파일이 파일 경로를 조작해 장비의 기본 운영 체제에 임의 파일을 작성하게 할 수 있습니다.
이 공격은 인증을 요구하지 않습니다. 위협 행위자는 취약한 게이트웨이를 통해 악성 첨부 파일을 포함한 이메일을 보내기만 하면 됩니다. 수신자가 메시지를 열거나 첨부 파일과 상호작용할 필요 없이 게이트웨이가 스스로 콘텐츠를 처리합니다.
성공적인 악용은 임의 파일 생성 이상의 결과를 초래할 수 있습니다. Cisco는 공격자가 이 취약점을 사용해 운영 체제에서 루트 권한으로 명령을 실행할 수 있다고 확인했으며, 이는 손상된 장비에 대해 사실상의 완전한 통제를 제공합니다.
이 취약점은 벡터 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H와 함께 CVSS 3.1 점수 9.8을 받았습니다. 원격 접근성, 낮은 공격 복잡성, 필요한 권한 없음, 사용자 상호작용 필요 없음의 조합이 이 심각한 등급을 설명합니다.
Cisco Secure Email 및 Web Manager와 Cisco Secure Web Appliance는 이 취약점의 영향을 받지 않습니다. Cisco Secure Email 클라우드 환경은 Cisco의 관리 업그레이드 프로세스를 통해 이미 수정된 Content Scanner Tools 패키지를 받았습니다.
회사는 내부 보안 스캐닝을 통해 결함을 발견했습니다. 10월 14일에 전용 권고문이 발표되었지만, Cisco는 이미 9월 14일 보안 강화 릴리스의 일환으로 수정된 AsyncOS 릴리스 15.5.5-014 및 16.5.0-780을 발송했습니다. 특정 결함은 Cisco가 와일드에서 악용을 확인한 후 자체 CVE와 권고문을 받았습니다.
최근 공개된가장 적극적으로 악용된 Secure Email Gateway 취약점은 이번이 처음이 아닙니다. 2026년 9월, Cisco는 악의적 이메일 처리를 통해 트리거되어 인증되지 않은 명령 실행을 허용할 수 있는 또 다른 결함인 CVE-2026-76461을 패치했습니다. Cisco는 두 가지 악용 캠페인을 연결하지 않았습니다.
작성 당시, Cisco와 참조된 보고서는 공개된 CVE-2026-76519 PoC를 문서화하지 않았습니다. 그러나 적극적인 악용은 수비수들이 공개된 익스플로잇 코드의 가용성에 상관없이 취약한 장비를 즉각적인 위험으로 간주해야 한다는 것을 의미합니다.
CVE-2026-76519 감지를 위해 Cisco는 관리자들이 장비의 system_logs에 대한 내장 보안을 점검할 수 있는 기능을 제공합니다. 조직들은 또한 외부 네트워크 및 방화벽 원격 계측을 검사해야 하며, 루트 권한을 가진 공격자는 피해가 발생한 게이트웨이에서 증거를 제거하거나 숨길 수 있기 때문입니다.
CVE-2026-76519 완화 방안
Cisco는 패치를 발표했으며 취약점을 완전히 해결하는 우회 방법은 없다고 밝힙니다. 영향을 받은 Secure Email Gateway 배포 환경을 운영하는 조직들은 최신 Content Scanner Tools 패키지를 적용하거나 지체 없이 고정된 AsyncOS 릴리스로 마이그레이션해야 합니다.
첫 번째 수정된 릴리스는 다음과 같습니다:
- AsyncOS 15.5: 15.5.5-014
- AsyncOS 16.0: 고정된 릴리스로 마이그레이션
- AsyncOS 16.5: 16.5.0-780
- Content Scanner Tools: 25.3.0.5525 이상
Cisco는 AsyncOS 릴리스 16.5 이전을 실행 중인 조직들이 버전 16.5.0-780으로 마이그레이션할 것을 권장합니다. 중요한 것은 Content Scanner Tools 업데이트가 AsyncOS 업그레이드 또는 장비 재시작 없이도 지원되는 설치를 수정할 수 있다는 점입니다.
관리자들은 CLI에서 contentscannerstatus 명령어를 실행해 현재 설치된 스캐너 패키지를 확인할 수 있습니다. File Reputation이 활성화된 경우 25.3.0.5525 이전의 Content Scanner Tools를 보고하는 시스템은 여전히 노출되어 있습니다.
Content Scanner Tools 자동 업데이트를 활성화한 고객은 25.3.0.5525 버전 이상이 실제로 설치되었는지 확인해야 합니다. 자동 업데이트가 비활성화된 경우, 관리자들은 contentscannerupdate 명령어를 사용해 수동으로 업데이트를 트리거할 수 있습니다.
CVE-2026-76519 악용 시도를 탐지하기 위해, Cisco는 시스템 보안 손상 스캔을 위해 system_logs를 검토할 것을 권장합니다. 관리자들은 grep “System Security” system_logs 명령어를 사용할 수 있으며 이 검사를 클러스터에 속한 각 Secure Email Gateway 장비별로 개별적으로 수행해야 합니다.
시스템 보안: 의심되는 손상 지표가 발견되었다는 로그 항목은 손상된 아티팩트가 탐지되었음을 나타내며, 조직은 Cisco의 사고 대응 지침을 따르고 Cisco TAC에 연락해야 합니다. 보안 스캔이 완료되지 않았다는 메시지도 TAC로의 에스컬레이션이 필요합니다.
이러한 Cisco 제공 메시지는 벤더로부터 제공된 주된 공개 CVE-2026-76519 IOCs를 나타냅니다. 그러나 로컬 스캔으로는 손상을 결정적으로 배제할 수 없으며, 성공한 공격자는 루트 권한으로 작동하여 증거를 제거하거나 숨길 수 있습니다.
Cisco는 따라서 게이트웨이가 시작한 예상치 못한 업로드, 외부 인프라로부터의 비정상적인 다운로드, 잠재적으로 악성 IP 주소와 관련된 이상 연결을 포함한 수상한 활동에 대해 장치 외부에 저장된 방화벽 및 네트워크 원격 계측을 검토할 것을 권장합니다.
진행된 대응은 장비 유형에 따라 다릅니다. 잠재적으로 손상된 물리적 장비의 경우, Cisco는 TAC에 연락할 것을 권장합니다. 가상 장비의 경우, 변경을 가하기 전에 포렌식 증거를 보존해야 합니다. 손상된 시스템을 업그레이드하면 관련 로그 및 아티팩트를 파괴할 수 있기 때문입니다.
Cisco는 단순히 업그레이드하는 대신 고정 소프트웨어 릴리스를 사용해 손상된 가상 장비를 재구성할 것을 권장합니다. 관리자는 이전 구성 파일을 가져오지 않고 구성을 다시 구성해야 하며, 장비에 저장된 자격 증명 및 암호화 재료를 갱신해야 합니다.
클러스터화된 Secure Email Gateway 배포 환경을 사용하는 조직들은 특히 주의를 필요로 합니다. 클러스터 멤버들은 서로 SSH 키 쌍을 사용해 인증하며, 루트 수준의 손상은 이 통신에 사용되는 개인 키를 노출시킬 수 있습니다. 이러한 키를 획득한 공격자는 잠재적으로 추가 클러스터 멤버에 대한 접근을 확장할 수 있습니다.
SOC Prime의 AI-Native Detection Intelligence Platform은 보안 팀이 적극적으로 악용된 취약점에 대한 신흥 인텔리전스를 운영화하고 이메일, 네트워크, 엔드포인트, 인프라 원격 계측 전반에 걸쳐 행위 기반 위협 헌팅을 가속화할 수 있도록 도와줍니다.
FAQ
CVE-2026-76519는 무엇이며 어떻게 작동합니까?
CVE-2026-76519는 Cisco Secure Email Gateway의 Advanced Malware Protection 기능의 치명적인 상대 경로 탐색 취약점입니다. 인증되지 않은 공격자가 특별히 조작된 이메일 첨부 파일을 취약한 장비를 통해 보냄으로써 운영 체제에 임의 파일을 작성하게 하고 잠재적으로 루트 권한으로 명령을 실행할 수 있습니다.
CVE-2026-76519는 언제 처음 발견되었나요?
Cisco는 내부 보안 스캐닝을 통해 이 취약점을 발견했으나 구체적인 발견 날짜는 공개하지 않았습니다. 수정사항은 이미 2026년 9월 14일에 발표된 보안 강화 릴리스에 포함되어 있었습니다. Cisco는 PSIRT가 적극적인 악용을 인지한 후 10월 14일에 전용 권고문을 발표했습니다.
CVE-2026-76519가 시스템에 미치는 영향은 무엇인가요?
성공적인 악용은 인증되지 않은 원격 공격자에게 Secure Email Gateway에서 루트 수준의 명령 실행을 제공할 수 있습니다. 이는 장비의 수정, 자격 증명 또는 암호화 키 도난, 지속성, 이메일 보안 기능 조작, 포렌식 증거 제거, 연결되거나 클러스터된 시스템의 추가 손상 가능성을 허용할 수 있습니다.
CVE-2026-76519는 2026년에 여전히 영향을 미칠 수 있습니까?
예. File Reputation이 활성화되고 메일 정책에 할당되었으며 Content Scanner Tools 버전이 25.3.0.5525 이전인 물리적 및 가상 Cisco Secure Email Gateway 장비는 여전히 취약합니다. 위험은 즉각적이며 Cisco는 적극적인 악용을 확인했으며 CISA는 이 취약점을 KEV 카탈로그에 추가했습니다.
CVE-2026-76519로부터 자신을 보호하려면 어떻게 해야합니까?
고정된 AsyncOS 릴리스로 업그레이드하거나 Content Scanner Tools 25.3.0.5525 이상을 설치하세요. 자동 배포가 성공했으리라는 가정 대신 업데이트를 확인하고, Cisco의 System Security 손상 체크를 실시하며, 의심스러운 활동에 대해 외부 네트워크 원격 계측을 조사하세요. 손상이 의심되는 경우, 대응 전 포렌식 증거를 보존하고 CVE-2026-76519에 대한 Cisco의 최신 세부사항을 따르세요.
