시스코 방화벽 제품에서 인증 없이 장비를 재부팅시킬 수 있는 취약점이 실제 공격에 쓰인 것으로 확인됐다. 우회 대책이 없어 영향을 받는 조직은 고정 버전이나 핫픽스로 신속히 전환해야 한다.
문제의 취약점은 CVE-2026-20349다. 시스코는 이를 위험도 ‘높음’으로 분류하고 CVSS 기본 점수 8.6을 부여했다. 미국 사이버보안·인프라보안국(CISA)도 지난 11일 실제 악용 근거를 토대로 이 취약점을 알려진 악용 취약점(KEV) 목록에 추가했다.
조작된 요청 하나로 장비 재부팅
시스코 공식 권고에 따르면 결함은 원격 접속 SSL VPN 서비스가 HTTP 요청을 처리할 때 오류를 충분히 검사하지 않아 발생한다. 공격자는 로그인이나 사용자 조작 없이 특수하게 만든 요청을 보내 ASA 또는 FTD 장비를 예기치 않게 다시 시작시킬 수 있다.
공격이 성공하면 VPN 연결이 끊기고 원격 근무자나 관리자의 접속이 중단되는 서비스 거부 상태가 생길 수 있다. 시스코는 이번 문제로 정보가 유출되거나 원격 코드가 실행된다고 밝히지는 않았다.
어떤 설정에서 영향을 받나
취약한 소프트웨어를 사용하면서 IKEv2 원격 접속 VPN의 클라이언트 서비스, SSL VPN, 또는 FTD의 제로 트러스트 네트워크 접속 기능을 활성화한 장비가 영향을 받을 수 있다. 반면 시스코 시큐어 파이어월 매니지먼트 센터(FMC)는 이번 취약점의 영향 대상이 아니다.
조직마다 제품 버전과 활성화된 기능이 다르므로 장비 목록과 설정을 먼저 대조해야 한다. 인터넷에 직접 노출된 VPN 게이트웨이라면 예기치 않은 재부팅 기록과 접속 장애도 함께 점검하는 것이 필요하다.
우회책 없어 업데이트가 핵심
시스코는 이 취약점을 막을 별도 우회 방법이 없다고 안내했다. ASA와 FTD의 각 버전에 맞는 핫픽스 또는 수정 소프트웨어가 제공된 만큼, 관리자는 공식 보안 권고와 소프트웨어 체커를 통해 장비별 설치 파일을 확인해야 한다.
시스코 제품보안대응팀(PSIRT)은 2026년 8월 실제 악용 사실을 파악했다고 밝혔다. 아직 공격 주체나 표적에 관한 세부 내용은 공개되지 않았으므로 확인되지 않은 침해 지표에 의존하기보다 업데이트 적용 여부와 장비 상태를 중심으로 대응해야 한다.