Cisco Expressway·Unified CM 보안 업데이트와 취약점 해설

무슨 일이 생겼나요

KISA 보호나라가 2026-10-29 Cisco 제품의 보안 업데이트를 권고했어요. 건물마다 출입문과 잠금장치가 다르듯, 이번에도 제품과 사용 중인 버전에 따라 손봐야 하는 대상과 해결 방법이 달라요. Expressway Series는 X14 이하와 X15.5.3 이하의 조치가 구분되고, Unified CM 등을 포함한 나머지 제품은 14와 15의 조치가 구분돼요.

대상 제품은 Expressway Series, Emergency Responder, Prime Collaboration Deployment, Unified CM, Unified CM IM&P, Unified CM SME, Unity Connection이에요. 취약점은 프로그램의 보안상 약점을 뜻하며, 이번 권고에는 경로 조작, 크로스 사이트 스크립팅, SQL 삽입, 메모리 손상이 포함돼요. 이름이 비슷한 제품이라도 실제 설치된 제품명과 버전을 각각 확인해야 해요.

권고에 포함된 CVE 전체 개수는 16이에요. CVE는 공개된 취약점을 구분하는 식별 번호예요. 다만 제품별 영향과 해결 항목에 연결된 번호만으로 모든 CVE의 적용 대상을 확정할 수는 없어요. CISA KEV 에는 아직 등재되지 않았다.

기술적으로는 (초급 개발자용)

경로 조작은 프로그램이 파일이나 폴더의 위치를 다루는 과정에서 의도한 범위를 벗어나는 문제를 말해요. 크로스 사이트 스크립팅은 웹 화면에 들어간 입력값이 브라우저에서 실행되는 코드로 처리될 수 있는 문제예요. 이번 권고에 이 유형들이 포함돼 있지만, 어떤 입력이나 화면이 문제인지, 각각 어떤 CVE에 해당하는지는 명시돼 있지 않아요.

SQL 삽입은 데이터베이스에 보내는 질의에 외부 입력이 명령의 일부로 섞이는 문제예요. 메모리 손상은 프로그램이 실행 중 사용하는 기억 공간을 잘못 다루는 문제예요. 이는 취약점 유형을 이해하기 위한 설명이며, 이번 Cisco 제품에서 발생한 구체적인 코드 결함이나 결과를 뜻하지는 않아요. 유형 이름만 보고 정보 유출, 권한 획득, 서비스 중단 같은 결과를 확정해서는 안 돼요.

Expressway Series에는 CVE-2026-76466과 CVE-2026-76490, CVE-2026-76491, CVE-2026-76492, CVE-2026-76493, CVE-2026-76494, CVE-2026-76495, CVE-2026-76496이 연결돼요. Emergency Responder, Prime Collaboration Deployment, Unified CM, Unified CM IM&P, Unified CM SME, Unity Connection에는 CVE-2026-76473과 CVE-2026-76474가 연결돼요. 이 연결 관계만으로 제품들이 같은 내부 코드를 사용한다거나 공격 방법이 같다고 판단할 수는 없어요.

NVD의 상세 설명, CWE 식별 번호, CVSS 점수는 제시돼 있지 않아요. CWE는 보안 약점의 종류를 구분하는 분류이고, CVSS는 공격 조건과 영향을 기준으로 취약점의 심각도를 평가하는 체계예요. 이번에는 점수에 따른 위험 수준을 설명할 근거가 없어요. 로그인 필요 여부, 필요한 권한, 사용자의 추가 동작 여부, 공격이 가능한 접속 경로와 구체적인 발생 원인도 확정할 수 없어요.

누가 영향을 받나요

일반 사용자

일반 이용자는 자신이 접속하는 조직의 서비스가 대상 Cisco 제품을 사용하는지 직접 알기 어려울 수 있어요. 제품 이름에 전화나 연결을 떠올리게 하는 표현이 있더라도, 이번 권고를 개인 휴대전화나 회선 자체의 취약점으로 받아들일 근거는 없어요. 자신이 이용하는 환경의 해당 여부는 그 환경을 관리하는 담당자를 통해 확인하는 것이 적절해요.

이번 권고만으로 개인정보가 유출됐다거나 이용 중인 서비스가 중단된다고 말할 수는 없어요. 조직에서 업데이트나 마이그레이션 일정을 안내한다면, 자신이 사용하는 서비스에 점검 시간이 있는지 확인해 두세요. 실제 이용 영향은 해당 조직의 구성과 작업 계획에 따라 확인해야 해요.

개발자

대상 Cisco 제품과 연동하는 기능을 개발하거나 유지보수한다면, 연동 대상의 정확한 제품명과 버전을 먼저 파악해야 해요. Expressway Series에 적용되는 X15.5.20 이상이라는 해결 기준을 Unified CM에 적용하거나, Unified CM의 15SU5 이상이라는 기준을 Expressway Series에 적용하면 안 돼요. 연동 구성요소별로 업데이트 대상을 구분해야 해요.

경로 조작이나 SQL 삽입이라는 이름만으로 연동 애플리케이션의 코드를 수정해야 한다고 결론 내릴 수는 없어요. 이번 권고의 해결 조치는 대상 제품의 업데이트 또는 마이그레이션이에요. 개발자는 담당자와 변경 대상을 맞추고, 변경 후 자신이 관리하는 연동 기능이 정상 동작하는지 확인할 준비를 하는 것이 좋아요.

서버·장비 담당자

Expressway Series의 X14 이하는 해결 버전으로 마이그레이션해야 해요. 마이그레이션은 해결된 버전으로 환경을 옮기는 작업을 뜻해요. X15.5.3 이하는 X15.5.20 이상이 해결 기준이에요. X14 이하의 구체적인 이전 대상과 이전 경로는 제조사 공지에서 확인해야 하며, 여기서 특정 버전으로 바로 이동할 수 있다고 단정할 수는 없어요.

Emergency Responder, Prime Collaboration Deployment, Unified CM, Unified CM IM&P, Unified CM SME, Unity Connection은 각각 14에서 해결 버전으로 마이그레이션해야 하고, 15에서는 15SU5 이상이 해결 기준이에요. 같은 해결 기준이 적혀 있어도 설치된 제품마다 적용 여부와 작업 절차를 확인해야 해요. 영향 범위에 명시되지 않은 다른 버전의 상태도 임의로 판단하지 마세요.

지금 할 일

1. 운영 자산에서 Expressway Series, Emergency Responder, Prime Collaboration Deployment, Unified CM, Unified CM IM&P, Unified CM SME, Unity Connection의 사용 여부를 확인하고, 설치된 제품명과 버전 표기를 기록하세요.
2. Expressway Series는 X14 이하인지, X15.5.3 이하인지 확인하세요. X14 이하는 해결 버전으로 마이그레이션하는 계획을 세우고, X15.5.3 이하는 X15.5.20 이상이라는 해결 기준에 맞춰 적용 대상을 확인하세요.
3. Emergency Responder, Prime Collaboration Deployment, Unified CM, Unified CM IM&P, Unified CM SME, Unity Connection은 제품별로 14와 15를 구분하세요. 14는 해결 버전으로 마이그레이션하고, 15는 15SU5 이상을 적용하는 계획을 세우세요.
4. 제조사 공지에서 해당 제품의 지원되는 업데이트 경로와 마이그레이션 절차를 확인하세요. 영향과 해결 항목에서 연결 관계를 확인할 수 없는 CVE도 해당 공지에서 적용 여부를 확인해야 해요.
5. 제조사 공지의 업데이트 절차를 따르세요. 운영 환경에서는 변경 후 확인할 서비스와 연동 기능, 작업 중 문제가 생겼을 때의 복구 준비도 함께 정리하세요.
6. 작업 후 실제 적용된 버전과 제품별 동작을 확인하고, 업데이트 또는 마이그레이션 결과를 자산 기록에 반영하세요.

바로 업데이트하기 어렵다면

• 제조사 공지에서 해당 제품에 적용할 수 있는지 확인한 뒤, 운영에 필요한 범위를 기준으로 접근을 제한하는 방안을 검토하세요. 이는 업데이트 전의 보조 조치이며 취약점 해결을 확인하는 기준으로 삼을 수는 없어요.
• 제조사 공지와 서비스 구성을 확인한 뒤, 불필요한 외부 노출을 줄일 수 있는지 검토하세요. 구체적인 공격 경로가 명시되지 않았으므로 특정 접속 방식만 제한하면 해결된다고 판단하지 마세요.

업데이트 후 확인

• Expressway Series의 X15.5.3 이하 환경을 업데이트했다면, 실제 설치 버전이 X15.5.20 이상이라는 해결 기준을 충족하는지 확인하세요. X14 이하에서 이전했다면 제조사 공지에서 확인한 해결 버전으로 마이그레이션됐는지 확인하세요.
• Emergency Responder, Prime Collaboration Deployment, Unified CM, Unified CM IM&P, Unified CM SME, Unity Connection의 15 환경은 실제 설치 버전이 15SU5 이상인지 각각 확인하세요. 14 환경은 해결 버전으로의 마이그레이션 결과를 확인하세요.
• 변경한 제품에서 기존에 사용하던 기능과 연결된 서비스가 정상 동작하는지 확인하세요. 설치 작업이 끝났다는 표시만으로 연동 기능까지 확인됐다고 보기는 어려워요.
• 자산 기록의 제품명과 버전을 실제 운영 상태와 맞추고, 적용하지 못한 대상이 있다면 후속 작업 대상으로 남겨 두세요.

해외 동향 (NVD·CISA KEV)

CISA의 실제 악용 취약점 목록(KEV)에는 2026.10.30 확인 기준 아직 올라 있지 않아요.

CVE가 16건이나 돼서 건별 점수는 제조사 공지와 NVD에서 확인하세요.

제조사 공식 공지

• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-vcs-static-cred-hr7EWZ8t
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-exwy-hardening-FhcqBVcs
• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-voice-hardening-twgbH9e3

자주 묻는 질문

Q. Expressway Series를 사용하면 모두 X15.5.20 이상으로 바로 올리면 되나요?

X15.5.3 이하의 해결 기준은 X15.5.20 이상이에요. X14 이하에는 해결 버전으로 마이그레이션하라는 조치가 명시돼 있어요. X14 이하에서의 구체적인 이전 대상과 직접 이전 가능 여부는 제조사 공지에서 확인하고, 제조사 공지의 업데이트 절차를 따라야 해요.

Q. CVE 전체 개수가 16이면 모든 대상 제품에 같은 취약점이 있나요?

그렇게 해석하면 안 돼요. Expressway Series에 연결된 CVE와 나머지 대상 제품에 연결된 CVE가 구분돼 있어요. 전체 개수가 16이라는 사실만으로 각 제품이 모든 취약점의 영향을 받는다고 판단할 수는 없어요. 제품별 적용 대상은 제조사 공지에서 확인해야 해요.

Q. 실제 악용과 관련해 CISA KEV 상태는 어떻게 안내돼 있나요?

CISA KEV는 실제 악용이 알려진 취약점을 관리하는 목록이에요. 이번 권고의 상태는 다음과 같아요. CISA KEV 에는 아직 등재되지 않았다.