시스코가 원격 공격자가 인증 없이 루트 권한으로 명령을 실행할 수 있는 Secure Email Gateway(SEG) 취약점 CVE-2026-76519를 패치했다. 이 결함은 실제 공격에 악용되고 있으며, 특정 기능과 소프트웨어 버전을 사용하는 기기에 영향을 준다.

취약점은 SEG의 Advanced Malware Protection(AMP) 기능에서 이메일 첨부 파일을 부적절하게 처리해 발생하는 상대 경로 탐색 취약점이다. 공격자는 패치되지 않은 기기를 거쳐 악성 첨부 파일이 포함된 이메일을 보내 임의 파일을 쓰고 기반 운영체제에서 루트 권한으로 명령을 실행할 수 있다. 시스코는 2026년 10월 자사 보안 대응팀이 취약점의 실제 악용을 인지했다고 보안 권고문에서 밝혔다.

취약점은 File Reputation 서비스가 활성화되어 메일 정책에 할당됐고, Content Scanner Tools 버전이 25.3.0.5525보다 낮은 SEG 인스턴스에 영향을 준다. 관리자는 contentscannerstatus CLI 명령으로 도구 버전을 확인하고, 웹 관리 화면의 Mail Policies > Incoming Mail Policies 또는 Outgoing Mail Policies > Advanced Malware Protection에서 “Enable File Reputation” 설정을 확인해야 한다.

시스코가 제시한 침해 지표와 권고 조치는 다음과 같다.

  • “System Security: Suspected compromise indicator was found.” 로그가 있으면 추가 권고를 위해 Cisco 기술 지원 센터(TAC)에 문의한다.
  • “Compromise detected.” 로그가 있으면 보안 권고문의 Recommendations 절차를 따른다.
  • “System Security: Security scan did not complete.” 로그가 있으면 TAC에 지원을 요청한다.
  • “System Security: No compromise indicator was found.” 로그는 침해 지표가 발견되지 않았음을 뜻한다. 해당하는 경우 수정된 소프트웨어 릴리스로 업그레이드한다.

시스코는 공격자가 루트 권한을 얻은 뒤 악용 흔적을 지울 수 있다며, 외부 또는 의심스러운 IP 주소와 주고받은 다운로드·업로드를 비롯해 방화벽 및 네트워크 로그를 확인하라고 권고했다. 회사는 클라우드 인스턴스에 완화 조치를 적용했으며, 잠재적 침해 증거가 발견된 Cisco Secure Email Cloud 기기 소유자에게 연락했다고 밝혔다. 연락을 받은 고객에게는 가능한 경우 자격 증명과 어플라이언스에 설치된 암호화 자료를 갱신하고, 기기 접근을 제한하며 강력한 접근 통제를 적용하라고 권고했다.

인터넷 보안 감시 기관 Shadowserver는 인터넷에 노출된 Cisco Secure Email Gateway 인스턴스를 거의 300개 추적하고 있다. 다만 이 가운데 허니팟이거나 이미 보안 조치가 적용된 기기가 몇 개인지는 공개하지 않았다. Shadowserver 통계에서 관련 현황을 확인할 수 있다.

시스코는 2024년 7월에도 악성 첨부 파일이 포함된 이메일로 루트 권한 사용자를 추가하거나 기기를 영구적으로 중단시킬 수 있는 SEG 취약점 CVE-2024-20401을 해결했다. 또 2025년 11월부터 SEG와 Secure Email and Web Manager(SEWM)를 겨냥한 공격에 악용된 AsyncOS 취약점 CVE-2025-20393을 올해 1월 패치했다. 지난달에는 Cisco AsyncOS Software의 이메일 파싱 취약점 CVE-2026-76461이 공격에 악용되고 있다고 경고했다. 이 결함 역시 인증 없이 원격에서 루트 권한 명령을 실행할 수 있다.

미국 사이버보안·인프라 보안국(CISA)은 2021년 11월 이후 실제 공격에 악용된 시스코 취약점 100개를 목록에 추가했으며, 그중 7개는 랜섬웨어 공격에 악용됐다. CISA 목록에서 확인할 수 있다.