시스코 방화벽 CVE-2026-20349 실제 공격 확인, 재부팅 유발 취약점 패치 시급

시스코의 시큐어 파이어월 ASA와 FTD 제품에서 인증 없이 원격으로 장비를 재부팅시킬 수 있는 취약점이 실제 공격에 악용된 사실이 확인되었습니다. 해당 취약점은 CVE-2026-20349로 지정되었으며, 미국 사이버보안청(CISA)의 알려진 악용 취약점 목록에도 등재되었습니다. 이번 글에서는 이 취약점의 구체적인 위험성과 영향을 받는 제품, 관리자가 지금 취해야 할 조치를 정리했습니다.

CVE-2026-20349, 인증 없이 방화벽을 멈추는 취약점

CVE-2026-20349는 CVSS 기준 8.6점으로 평가된 고위험 취약점입니다. 시스코 시큐어 파이어월 ASA와 FTD 장비가 HTTP 요청을 처리하는 과정에서 오류 검사가 충분히 이루어지지 않아 발생하는 결함으로 알려졌습니다. 공격자는 별도의 인증 절차 없이도 원격에서 조작된 HTTP 요청을 VPN 서비스로 전송하는 것만으로 장비를 비정상적으로 재부팅시킬 수 있습니다.

이 취약점이 특히 위험한 이유는 방화벽이라는 장비의 특성 때문입니다. 방화벽이 예기치 않게 재부팅되면 그 순간 서비스 거부(DoS, Denial of Service) 상태가 발생해 해당 장비를 거쳐야 하는 모든 통신이 일시적으로 끊깁니다. 특히 재택근무나 원격 접속을 위한 VPN 연결이 끊어지면 업무 연속성에 직접적인 타격을 줄 수 있으며, 공격자가 이 취약점을 반복적으로 악용할 경우 조직 전체의 네트워크 가용성이 계속 흔들릴 수 있습니다.

영향받는 제품군과 실제 악용 확인 경위

이번 취약점의 영향을 받는 제품은 시스코 시큐어 파이어월 ASA의 9.16, 9.18, 9.20, 9.22, 9.23, 9.24 버전과 시큐어 파이어월 FTD의 7.0, 7.2, 7.4, 7.6, 7.7, 10.0 버전입니다. 상당히 폭넓은 버전대가 영향을 받는다는 점에서, 오래된 버전을 그대로 운영 중인 조직이라면 노출 가능성을 반드시 점검해야 합니다.

2026년 8월 들어 이 취약점이 실제 공격에 활용되고 있다는 사실이 확인되면서, CISA는 이를 알려진 악용 취약점(KEV, Known Exploited Vulnerabilities) 목록에 등재했습니다. KEV 목록에 오른 취약점은 이미 실제 공격에서 확인된 사례이기 때문에, 이론적 위험이 아니라 지금 이 순간에도 악용될 수 있는 현실적인 위협으로 취급해야 합니다. 시스코는 이 문제를 해결하기 위한 핫픽스와 수정 버전을 배포했으며, 별도의 우회 방법(워크어라운드)은 존재하지 않는다고 밝혀 패치 적용이 사실상 유일한 대응책임을 분명히 했습니다.

관리자가 지금 확인해야 할 조치

가장 먼저 해야 할 일은 자사에서 운영 중인 시스코 방화벽이 영향받는 버전 목록에 해당하는지 정확히 확인하는 것입니다. 인터넷에 직접 노출된 장비, 특히 VPN 서비스를 활성화해 둔 장비는 우선순위를 높여 점검해야 합니다. 버전 확인 이후에는 해당 기능이 실제로 활성화되어 있는지, 외부에서 접근 가능한 상태인지를 함께 검토해야 정확한 위험도를 판단할 수 있습니다.

점검이 끝난 뒤에는 시스코가 배포한 핫픽스나 수정 버전을 지체 없이 적용하는 것이 최선입니다. 우회 방법이 없는 취약점의 특성상, 패치를 미루는 기간만큼 서비스 거부 공격에 노출될 위험이 그대로 유지됩니다. 방화벽 장비 특성상 패치 적용 시 재부팅과 일시적 서비스 중단이 불가피할 수 있으므로, 업무 영향이 적은 시간대를 택해 계획적으로 적용 일정을 잡는 것이 바람직합니다.

참고 자료

• 해커가 원격에서 시스코 방화벽 멈춘다…CVE-2026-20349 공격 확인 - 데일리시큐

마무리

시스코 방화벽 ASA·FTD의 CVE-2026-20349 취약점은 인증 없이 원격에서 장비를 재부팅시켜 서비스 거부 상태를 유발할 수 있으며, 이미 실제 공격에 악용되고 있는 것으로 확인되었습니다. 우회 방법이 없는 만큼 영향받는 버전을 사용 중인 조직은 지금 바로 핫픽스 적용 여부를 확인해야 합니다. 관련 취약점 소식은 앞으로도 계속 전해드리겠습니다.