보안 · 2026년 10월 17일
다른 언어로도 게시됨 Français
시스코, 보안 이메일 게이트웨이에서 실시간 공격 중인 치명적 취약점 경고
시스코가 보안 이메일 게이트웨이 제품에서 발견된 치명적인 취약점 CVE-2026-76519에 대해 실시간으로 공격이 진행되고 있다고 경고했다. 이 취약점은 공격자가 인증 없이 루트 권한으로 명령을 실행할 수 있는 경로를 제공한다. 시스코는 보안 자문문서를 통해 해당 취약점의 CVSS 점수가 9.8이라고 명시했으며, 이는 시스코 내부의 보안 스캔 과정에서 발견되었다고 밝혔다. 2026년 10월 현재 이 취약점을 악용하는 실제 공격이 확인되었다.
영향을 받는 장비는 두 가지 조건을 모두 충족해야 한다. 첫째, 고급 악성코드 보호 기능의 일부인 파일 평판 서비스를 활성화해야 하며, 이는 메일 정책과 연결되어야 한다. 둘째, 콘텐츠 스캐너 도구의 버전이 25.3.0.5525보다 낮아야 한다. 이 범위는 물리적 및 가상 게이트웨이를 모두 포함하며, 취약한 버전의 AsyncOS를 사용하는 장비에 해당한다. 반면, 보안 이메일 및 웹 매니저와 보안 웹 어플라이언스는 이 취약점의 영향을 받지 않는다. 시스코는 현재까지 공격받은 장비의 정확한 수량, 공격 주체, 그리고 특정 장비에서 루트 권한이 이미 탈취되었는지 여부에 대해 공개하지 않았다.
가장 빠른 해결책은 콘텐츠 스캐너 도구를 25.3.0.5525 이상으로 업데이트하는 것이다. 이 업데이트는 소프트웨어 업그레이드나 장비 재시작 없이 설치할 수 있다. 시스템 관리자는 contentscannerstatus 명령어로 버전을 확인할 수 있으며, 자동 업데이트가 비활성화되어 있다면 CLI를 통해 contentscannerupdate 명령을 실행해야 한다. AsyncOS 레벨의 패치는 2026년 9월 14일에 15.5.5-014 및 16.5.0-780 버전에서 이미 배포되었다. 이 버전들은 하드닝 릴리스와 함께 출시되었다. 그러나 AsyncOS 16.0에는 아직 수정된 빌드가 없으며, 16.0.4-302 버전은 이 취약점을 수정하지 않았다. 시스코는 16.5보다 낮은 버전을 사용하는 모든 장비를 16.5.0-780으로 전환할 것을 권장한다.
이 취약점에는 우회책이 없다. 관리형 보안 이메일 클라우드 서비스의 경우, 시스코는 이미 수정된 스캐너 버전을 설치했으며, 침입 징후가 발견된 고객에게 연락을 취하고 있다. 장비가 공격받았는지 확인하려면 클러스터 내 모든 장비에서 system_logs 파일에 대해 grep "System Security" 명령을 실행할 수 있다. 그러나 이상 징후가 발견되지 않는다고 해서 안전을 보장할 수는 없으며, 루트 권한을 가진 공격자가 흔적을 삭제했을 가능성이 있다. 따라서 방화벽 및 네트워크 로그를 추가로 점검하여 외부 IP와의 비정상적인 데이터 업로드 또는 다운로드 여부를 확인해야 한다.
가상 어플라이언스가 침입된 경우, 업그레이드는 로그와 증거를 파괴하므로 먼저 포렌식 데이터를 수집해야 한다. 이후 수정된 버전에서 새로운 가상 머신을 생성하고, 기존 구성 파일을 가져오지 않은 채로 설정을 재구성해야 한다. 모든 자격 증명, 키, 인증서를 변경해야 한다. 물리적 장비의 경우 시스코 TAC에 연락해야 한다. 클러스터 내 장비는 SSH 키 페어로 상호 인증하므로, 침입된 장비가 하나만 있어도 클러스터 전체를 복구해야 한다.
이 취약점은 시스코가 실시간 공격을 확인한 보안 이메일 게이트웨이의 두 번째 취약점이다. 2026년 9월에 공개된 이메일 처리 부분의 SQL 인젝션 취약점 CVE-2026-76461에 이은 것이다. 두 취약점은 소프트웨어의 서로 다른 부분에 위치하며, 시스코는 두 공격 간 연관성에 대해 언급하지 않았다. 또한 2025년 12월 이후 이 장비 그룹에서 실시간 공격을 받은 세 번째 루트 권한 취약점이다. 중국과 연관된 것으로 알려진 UAT-9686 해커 그룹은 2025년 12월에 스팸 격리 기능의 제로데이 취약점 CVE-2025-20393을 악용했으며, 시스코는 2026년 1월에 패치를 배포했다.