CVE-2026-76504: Cisco Catalyst SD-WAN Manager API 인증 우회와 관리면 점검

2026년 9월, Cisco PSIRT가 활발한 악용을 확인한 Cisco Catalyst SD-WAN Manager 인증 우회 취약점(CVE-2026-76504)은 CISA KEV 카탈로그에도 등재된 상태입니다. 사전 인증 없이 admin 권한의 API 접근이 가능하다는 점에서, SD-WAN을 운영하는 조직이라면 수정 릴리스 업그레이드 적용 여부를 서둘러 확인해야 합니다.

개요

CVE-2026-76504는 Cisco Catalyst SD-WAN Manager의 API 세션 기반 인증 관리 기능이 HTTP 요청의 URI 인코딩을 부적절하게 처리하는 데서 발생합니다. 공격자가 조작된 HTTP 요청을 전송하면 특정 API 엔드포인트 접근을 제한하기 위한 인증 규칙이 우회되고, 그 결과 인증되지 않은 원격 공격자가 admin 사용자 권한으로 API에 접근할 수 있습니다.

Cisco는 2026년 9월 이 취약점의 활발한 악용(active exploitation)을 인지했다고 공식 발표했으며, CISA는 해당 취약점을 KEV 카탈로그에 등재하고 벤더 지침에 따른 완화 조치 적용을 요구했습니다.

영향 범위

• 취약점이 영향을 미치는 범위는 API 세션 기반 인증 관리 기능과, 인증 규칙으로 접근이 제한된 특정 API 엔드포인트입니다.
• 현재 증거 자료에는 취약 버전 범위와 수정 소프트웨어 릴리스 번호가 명시되어 있지 않습니다. 보유 장비의 취약 여부는 Cisco 공식 권고문에서 반드시 확인해야 합니다.
• 성공한 악용은 인증 규칙을 우회하여 admin 사용자 권한으로 API에 접근할 수 있게 한다는 것이 현재 근거가 뒷받침하는 범위입니다. 악용 이후 실제로 수행된 후속 행위에 대한 정보는 현재 증거에 제공되지 않습니다.
• CISA KEV 대응 조치가 BOD 26-04와 연계되어 제시되는 점으로 보아, 이 지침이 적용되는 연방 기관 등 조직에는 규정상 대응 의무가 발생할 수 있습니다.

기술적 분석

취약점의 핵심은 API 세션 기반 인증 관리의 URI 인코딩 처리 결함입니다. 정상적으로 인증 규칙이 특정 API 엔드포인트에 대한 접근을 제한해야 하지만, 조작된 URI 인코딩을 사용한 HTTP 요청이 이 규칙을 우회하는 방식으로 admin 권한 접근이 성립합니다.

CISA는 이 취약점을 hex 인코딩 취약점으로 분류하고, 인증되지 않은 원격 공격자가 admin 사용자 권한으로 영향을 받는 시스템에 접근할 수 있다고 설명합니다. NVD도 같은 내용을 분석 기록으로 등재했습니다. 인증 우회가 사전 자격 증명 확보 없이 달성되는 방식이므로, 공격자는 계정 정보 없이도 이 취약점을 활용할 수 있다고 평가됩니다.

악용 상태는 확인된 수준입니다. Cisco PSIRT의 2026년 9월 활발한 악용 인지 발표와 CISA KEV 등재는 실제 공격 활동이 진행 중일 가능성을 강하게 시사합니다. 반면 공개 PoC나 독립적인 기술 분석 자료는 현재 증거에서 확인되지 않아, 실제 악용에 쓰인 구체적 기법과 도구 체인은 알 수 없습니다. 이 글에서는 확인되지 않은 PoC 상세 내용을 추정하지 않습니다.

패치 우선순위의 근거는 Cisco PSIRT의 활발한 악용 인지 발표와 CISA KEV 등재라는 실제 공격 활동 관측, 그리고 admin 사용자 권한의 API 접근이 가능하다는 취약점의 성격에 있습니다. Cisco는 이 취약점의 완화를 위해 수정된 소프트웨어 릴리스로 업그레이드하는 것을 강력히 권고하고 있습니다.

대응 방안

대응은 수정 릴리스 업그레이드와 벤더 지침에 따른 완화 조치 적용으로 진행하는 것이 바람직합니다.

• 최우선: 수정 릴리스 업그레이드. Cisco는 이 취약점의 완화를 위해 수정된 소프트웨어 릴리스로 업그레이드하는 것을 강력히 권고합니다. 다만 수정 릴리스의 구체적 버전 번호는 증거에 명시되지 않았으므로, Cisco 공식 권고문에서 대상 릴리스를 확인한 뒤 변경 관리 일정에 반영해야 합니다.
• 완화 조치 적용. CISA KEV의 요구 조치에 따라 벤더 지침에 맞춰 완화 조치를 적용하는 것을 권고합니다.

중장기적으로는 Cisco가 권고한 수정 소프트웨어 릴리스 업그레이드를 완료하여 이 취약점을 완화하는 것이 필요합니다.

참고자료

• CVE-2026-76504 Cisco Catalyst SD-WAN Manager System Account Authorization Bypass Vulnerability
• Known Exploited Vulnerabilities Catalog - CVE-2026-76504
• NVD CVE-2026-76504 (Analyzed)

함께 읽으면 좋은 글

• AhsayCBS 취약점 실제 악용: 백업 서버 노출과 패치 점검
• Cisco Nexus 스위치 NX-OS 치명적 취약점 5건, 관리 기능 활성 상태 점검과 영향 범위 확인
• ccTLD 레지스트리 침해로 발생한 Google 도메인 하이재킹: DNS·인증서 신뢰 경계 점검

본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.