FlawOpen

flawopen.com/Incidents/cisco-fmc-auth-bypass-qilin-sandworm-intrusions-september-2026

● Cisco Secure Firewall Management Center · CVE-2026-20079 · 2026-09-09 · CVSS 10.0 · 편집상 심각도: 심각
보안 연구 · FlawOpen

Cisco FMC 공격: 인증 우회, Sandworm, Qilin 랜섬웨어

Cisco Talos는 Cisco Secure Firewall Management Center(FMC)를 겨냥한 세 개의 별도 침입 그룹을 기록했습니다. 활동에는 CVSS 10.0 인증 우회, 별개의 정적 자격 증명 취약점, 자격 증명 탈취부터 Cyclops Blink와 Qilin 랜섬웨어까지 서로 다른 침해 후 경로가 포함됩니다.[1], [2], [3]

💡 알기 쉬운 설명 (ELI5)

방화벽 관리자는 여러 네트워크 문을 통제하는 관제실과 같습니다. 침입자가 관제실을 장악하면 열쇠를 훔치거나 감시를 바꾸고 건물 안으로 들어가는 숨은 길로 사용할 수 있습니다. Talos는 침해된 FMC를 세 그룹이 서로 다른 방식으로 이용한 것을 확인했으므로 업데이트와 침해 조사 모두 필요합니다.[1]

핵심 개념 및 용어

관리 영역
방화벽 장비를 관리하는 FMC 인터페이스와 서비스입니다. 침해되면 자격 증명이 노출되고 관리 대상 네트워크로 이동하는 발판이 될 수 있습니다.[1], [2]
CVE-2026-20079 (CWE-288)
Cisco는 이 인증 우회 취약점에 CVSS 10.0을 부여했습니다. 공지에 따르면 부팅 때 생성되는 잘못된 시스템 프로세스로 인해 원격 비인증 공격자가 스크립트를 실행하고 root 권한을 얻을 수 있습니다.[2]
CVE-2026-20316 (CWE-259)
별도의 CVSS 5.3 정적 자격 증명 취약점으로, 낮은 권한 계정 로그인을 허용합니다. Cisco는 다른 FMC 취약점과 결합해 영향을 키울 수 있다고 설명하며, CVE-2026-20079와는 다른 취약점입니다.[3]
침입 그룹
침해 이후의 관련 행동을 추적해 묶은 그룹입니다. Talos는 세 그룹을 구분했으며, 접근 방법과 결과를 하나의 보편적인 공격 체인으로 합쳐서는 안 됩니다.[1]
사건 영향도 평가
FlawOpen은 사건의 영향을 편집상 심각으로 평가합니다. Cisco가 CVE-2026-20079에 CVSS 10.0을 부여했고 Talos는 침해 후 Cyclops Blink 또는 Qilin 랜섬웨어로 이어진 경로를 기록했습니다. 이 사건 전체의 평가는 별개의 취약점인 CVE-2026-20316 자체가 심각하다는 뜻이 아닙니다. Cisco는 해당 취약점에 CVSS 5.3을 부여했습니다.[2], [1], [3]

프레임워크 매핑

사고 타임라인

2026-03-04

Cisco가 CVE-2026-20079를 공개했고 CVE-2026-20316은 7월 29일 공개됐습니다.[2], [3]

2026-07~2026-08

Cisco는 PSIRT가 CVE-2026-20316의 악용을 7월, CVE-2026-20079의 악용을 8월에 알게 됐다고 나중에 밝혔습니다.[2], [3]

2026-09-09

Talos가 세 그룹과 서로 다른 침해 후 활동을 설명했습니다.[1]

2026-09-16

Cisco가 두 CVE와 내부적으로 발견된 다른 취약점을 수정한 hardening 릴리스를 발표했습니다.[4], [2], [3]

단계별 공격 실행 흐름

단계 1

서로 다른 두 접근 취약점

CVE-2026-20079는 웹 인터페이스 인증을 비인증 상태에서 우회해 root 권한으로 스크립트를 실행하게 합니다. CVE-2026-20316은 낮은 권한 계정의 정적 자격 증명 문제입니다. 일부 침입에서 둘을 함께 썼지만 서로 다른 취약점입니다.[2], [3]

단계 2

Talos가 추적한 세 개의 별도 그룹

UAT-12197은 CVE-2026-20079를 이용해 웹 셸과 JAR 기반 명령 실행기를 배치하고 자격 증명을 획득했습니다. UAT-11823은 두 CVE를 모두 사용한 뒤 프록시/reverse shell 도구와 Cyclops Blink 변종을 배치했습니다. Talos는 Sandworm과 도구가 겹친다고 보고했습니다.[1], [2], [3]

단계 3

Qilin 활동은 별도 경로

Talos에 따르면 UAT-11988은 정적 자격 증명 결함으로 로그인해 정찰과 자격 증명 탈취를 수행하고 터널을 만들었으며 일부 엔드포인트에 Qilin 랜섬웨어를 배포했습니다. Talos는 이 그룹을 랜섬웨어 운영자로 높은 신뢰도로 평가합니다.[1], [3]

단계 4

패치와 침해 조사를 별도로 수행

Cisco가 문서화한 로그 확인은 악용 가능성을 알려줄 수 있습니다. hotfix 또는 hardening 릴리스는 이후 악용을 막지만 이미 발생한 침해를 제거하지 못할 수 있다고 Cisco는 경고합니다. 해당 징후가 있으면 TAC에 문의하세요.[2], [3], [4]

소스 코드 비교: 취약한 구현 vs 보안 패치

이 짧은 Python 예시는 권한 부여 경계를 설명하기 위한 것으로 Cisco FMC 소스 코드나 CVE 재현이 아닙니다. 취약한 형태는 신원과 권한을 확인하지 않고 특권 작업을 실행합니다. 강화된 형태는 인증과 명시적인 관리 권한을 모두 요구합니다. Cisco는 CVE-2026-20079를 부팅 시 생성되는 잘못된 시스템 프로세스로만 설명하며 영향받은 구현이나 패치 diff를 공개하지 않았습니다. 이 예시는 Cisco 코드를 재현한다고 주장하지 않고 제어 경계를 설명합니다.[2], [3]

취약한 구현
def invoke_management_action(identity, action):
    return action.execute()
보안 강화 패치
def invoke_management_action(identity, action):
    if identity is None:
        raise PermissionError('authentication required')
    if not identity.can_manage_firewall:
        raise PermissionError('management authorization required')
    return action.execute()

엔지니어링 및 시스템 보안 강화 체크리스트

출처