Secure Firewall ASA VPN 서비스 거부 취약점과 업데이트

무슨 일이 생겼나요

KISA 보호나라가 2026-10-30 Cisco Secure Firewall ASA와 Secure Firewall FTD의 보안 업데이트를 권고했어요. 이번 문제는 출입구에서 방문자를 확인하다가 확인 절차의 오류로 출입구 장치 전체가 다시 켜지는 상황에 비유할 수 있어요. 외부에서 회사 네트워크에 접속할 때 쓰는 가상 사설망인 VPN의 인증 처리 중 문제가 생겨, 장비가 예기치 않게 재시작될 수 있어요.

취약점은 CVE-2026-76418이며, 핵심 영향은 서비스 거부예요. 서비스 거부는 장비나 서비스가 정상적인 요청을 처리하지 못하게 되는 상태를 말해요. 이번에는 원격 접속용 SSL VPN에 연결하는 과정에서 공격자가 조작한 요청을 보내 장비 재시작을 유발할 수 있어요. 공격자가 먼저 로그인에 성공해야 하는 문제도 아니에요. 다만 관련 원인은 터널 그룹에 보조 인증이 설정된 경우의 처리 오류이므로, 제품 이름만 확인하고 모든 장비의 공격 조건이 같다고 판단해서는 안 돼요.

CVE-2026-76418은 실제 공격에 쓰이고 있음(CISA KEV 등재)이 확인된 취약점이에요. 실제 악용이 확인된 취약점을 모으는 CISA KEV 목록에 2026-10-29 등재됐고, 표시된 조치기한은 2026-11-01이에요. 랜섬웨어 사용 여부는 Unknown으로 표시돼 있어요. 이는 랜섬웨어에 쓰이지 않았다는 뜻이 아니라, 사용 여부가 확인되지 않았다는 뜻이에요.

기술적으로는 (초급 개발자용)

문제가 있는 기능은 SSL을 사용하는 원격 접속 VPN 서비스예요. SSL VPN은 외부 사용자가 보호된 연결을 통해 내부 네트워크에 접근하도록 돕는 기능이에요. 터널 그룹은 VPN 연결에 적용할 인증 같은 조건을 묶어 두는 설정 단위로 이해하면 돼요. 이번 취약점의 원인은 이 터널 그룹에 보조 인증을 설정했을 때 발생하는 처리 논리 오류예요.

공격 조건에서 중요한 부분은 원격 접속과 인증 전 요청 처리예요. 공격자는 SSL VPN에 연결하면서 조작한 요청을 보낼 수 있고, 이를 악용하는 데 사전 인증이 필요하지 않아요. 요청 처리에 문제가 생기면 영향을 받는 장비가 재시작돼 서비스 거부 상태가 발생할 수 있어요. 로그인 성공 여부만 점검하는 방식으로는 이 공격 조건을 충분히 살피기 어려워요.

NVD의 약점 분류는 CWE-690이며, 이름은 반환값 확인 누락에 따른 널 포인터 역참조예요. 쉽게 말하면 어떤 처리 결과가 비어 있는지 확인하지 않은 채, 실제 대상이 있는 것처럼 접근하는 종류의 약점이에요. 이 분류는 오류의 성격을 이해하는 단서예요. 구체적으로 어떤 내부 함수나 코드가 문제인지는 단정하지 않고, 이번 취약점에서는 보조 인증 처리의 논리 오류와 장비 재시작이라는 동작에 초점을 맞춰야 해요.

NVD 게시일은 2026-10-28이며, CVSS 버전 3.1 기준 점수는 8.6, 심각도는 HIGH예요. CVSS는 취약점의 기술적 심각도를 비교하는 평가 체계로, 이 점수는 높은 수준의 대응 우선순위를 검토할 근거가 돼요. 다만 점수 자체가 개별 장비의 침해 여부를 알려 주지는 않아요. 이번에는 실제 공격에 쓰이고 있다는 사실까지 함께 고려해, 사용 중인 버전과 SSL VPN의 인증 설정을 확인해야 해요.

누가 영향을 받나요

일반 사용자

회사나 기관의 VPN으로 업무 시스템에 접속하는 이용자는 연결이 끊기거나 다시 연결되지 않는 불편을 겪을 수 있어요. 원인이 개인 기기가 아니라 VPN을 제공하는 장비의 재시작에 있을 수 있다는 점이 중요해요. 같은 시간대에 동료들도 접속 문제를 겪었다면, 발생 상황을 담당자에게 전달하면 확인에 도움이 돼요.

이번에 설명된 직접적인 영향은 서비스 거부예요. 이 취약점만으로 개인 정보 유출이나 계정 탈취가 발생했다고 단정할 근거는 없어요. 일반 이용자가 직접 방화벽을 업데이트하기보다는, 소속 조직의 담당자가 해당 제품을 사용하는지와 업데이트 여부를 확인하도록 요청하는 것이 맞아요.

개발자

VPN을 거쳐 개발 환경이나 내부 서비스에 접속한다면, 장비 재시작 때문에 연결이 끊기는 현상을 애플리케이션 오류로 오인할 수 있어요. 접속 실패가 발생했을 때는 애플리케이션 기록과 함께 VPN 장애나 장비 재시작 시점이 겹치는지 담당자와 확인해 보세요. 이 취약점에 대한 해결은 영향을 받는 장비 소프트웨어를 업데이트하는 것이에요.

인증 기능을 이해할 때는 인증을 통과한 뒤의 권한 검사뿐 아니라 인증 전 요청을 처리하는 과정도 살펴야 한다는 사례예요. 이번에는 보조 인증이 설정된 터널 그룹의 처리 논리가 문제이며, 인증되지 않은 요청으로도 장비의 가용성, 즉 정상적으로 서비스를 제공하는 능력이 영향을 받을 수 있어요.

서버·장비 담당자

서버·장비 담당자는 Secure Firewall ASA와 Secure Firewall FTD의 사용 여부, 실제 실행 중인 소프트웨어 버전, 원격 접속 SSL VPN 사용 여부를 함께 확인해야 해요. 이어서 터널 그룹에 보조 인증이 설정돼 있는지 점검하고 제조사 공지의 영향 조건과 대조하세요. 버전 정보만으로 현재 구성을 모두 판단하거나, VPN 연결이 정상이라는 이유로 취약점이 없다고 판단해서는 안 돼요.

업데이트 대상을 정할 때는 제품별 버전 계열에 맞는 해결 버전을 확인해야 해요. 특히 Secure Firewall ASA의 9.24에는 해결 버전으로 9.24.1.27 이상과 9.24.10.1 이상이 함께 기재돼 있어요. 어떤 조건에서 각각 적용되는지는 이 표만으로 구분할 수 없으므로, 임의로 하나를 선택하지 말고 제조사 공지에서 장비와 현재 소프트웨어에 맞는 업데이트 대상을 확인해야 해요.

지금 할 일

1. 사용 중인 장비가 Secure Firewall ASA인지 Secure Firewall FTD인지 확인하고, 장비에서 show version을 실행해 현재 소프트웨어 버전을 확인하세요. 관리 기록에 적힌 버전과 실제 실행 중인 버전이 일치하는지도 확인해요.
2. 원격 접속 SSL VPN을 사용하는지, 터널 그룹에 보조 인증이 설정돼 있는지 확인하세요. 확인한 구성은 제조사 공지의 영향 조건과 대조하고, 실제 공격에 쓰이는 CVE-2026-76418에 대한 업데이트 일정을 정하세요.
3. Secure Firewall ASA는 영향받는 버전과 해결 버전을 다음과 같이 대조하세요. 9.16 이하는 9.16.4.104 이상, 9.18은 9.18.4.96 이상, 9.20은 9.20.4.50 이상, 9.22는 9.22.3.200 이상, 9.23은 9.23.1.48 이상이에요. 9.24에는 9.24.1.27 이상과 9.24.10.1 이상이 함께 기재돼 있으므로 제조사 공지에서 적용 조건을 확인하세요.
4. Secure Firewall FTD는 영향받는 버전과 해결 버전을 다음과 같이 대조하세요. 7.0 이하는 7.0.11 이상, 7.2는 7.2.13 이상, 7.4는 7.4.9 이상, 7.6은 7.6.7 이상, 7.7은 7.7.14 이상, 10.0은 10.0.3 이상, 10.1은 10.1.1 이상이에요. 각 해결 버전은 해당 버전 계열과 연결해 읽어야 해요.
5. 장비와 현재 버전에 맞는 업데이트 대상을 확정한 뒤 제조사 공지의 업데이트 절차를 따르세요. 작업 중 VPN 이용에 영향이 생길 수 있는지 확인하고, 이용자에게 필요한 작업 일정을 안내하세요. CISA KEV에 표시된 조치기한인 2026-11-01도 대응 일정 검토에 참고하세요.
6. 업데이트를 마치면 실제 실행 버전, 원격 접속 SSL VPN의 연결과 인증, 장비 재시작 여부를 확인하세요. 적용한 버전과 확인 결과를 기록해 후속 담당자가 업데이트 완료 상태를 판단할 수 있게 해요.

show version

바로 업데이트하기 어렵다면

• 바로 업데이트하기 어렵다면 제조사 공지에서 허용하는 대응 방법을 먼저 확인한 뒤, 업무에 필요한 범위로 원격 접속 SSL VPN의 접근을 제한하는 방안을 검토하세요. 접근 제한을 업데이트와 동등한 해결책으로 판단해서는 안 돼요.
• 제조사 공지와 실제 운영 조건을 확인한 뒤, 불필요한 외부 접근 경로를 줄이는 방안을 검토하세요. 보조 인증을 끄는 조치가 공식적인 완화책이라고 단정할 수는 없으므로, 인증 설정을 임의로 변경하지 말고 공지에 따라 판단해야 해요.

업데이트 후 확인

• 업데이트 후 show version으로 실제 실행 중인 버전을 다시 확인하고, 해당 제품과 버전 계열의 해결 버전 조건에 맞는지 대조하세요. Secure Firewall ASA의 9.24는 제조사 공지에서 확인한 적용 조건까지 함께 대조해야 해요.
• 정상 이용자의 원격 접속 SSL VPN 연결과 인증이 완료되는지 확인하세요. 보조 인증을 사용하는 구성이라면 해당 인증 절차도 정상적으로 진행되는지 확인해요.
• 업데이트 후 장비가 예기치 않게 재시작되거나 VPN 연결이 반복해서 끊기는지 살펴보세요. 정상 접속 확인만으로 과거 공격 여부까지 확인된 것은 아니므로, 이전 장애가 있었다면 관련 기록도 별도로 검토하세요.
• 적용 버전과 적용 결과를 기록하세요. 업데이트를 완료했다는 기록과 함께 실제 버전 확인 결과를 남기면, 이후 점검에서 누락된 장비를 구분하기 쉬워요.

해외 동향 (NVD·CISA KEV)

실제 공격에 쓰이고 있음(CISA KEV 등재) — 미국 사이버보안·기반시설보안청(CISA)이 실제 악용을 확인한 취약점 목록에 CVE-2026-76418(2026.10.29 등재)이 올라 있어요.

제조사 공식 공지

• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-tunnel-dos-s6mgkb75

자주 묻는 질문

Q. 로그인 비밀번호가 있어야 공격할 수 있나요?

아니에요. CVE-2026-76418은 인증되지 않은 원격 공격자가 SSL VPN 연결 과정에 조작한 요청을 보내 악용할 수 있어요. 관련 원인은 터널 그룹에 보조 인증이 설정된 경우의 논리 오류이므로, 담당자는 버전과 인증 구성을 함께 확인해야 해요.

Q. 실제 공격과 랜섬웨어 사용이 모두 확인됐나요?

실제 공격에 쓰이고 있음(CISA KEV 등재)은 확인됐어요. 등재일은 2026-10-29예요. 다만 랜섬웨어 사용 여부는 Unknown이에요. 실제 악용이 확인됐다는 사실과 랜섬웨어 사용 여부는 구분해서 이해해야 해요.

Q. Secure Firewall ASA의 9.24 해결 버전은 어느 쪽을 선택해야 하나요?

9.24의 해결 버전에는 9.24.1.27 이상과 9.24.10.1 이상이 함께 기재돼 있어요. 두 항목의 적용 조건은 이 표만으로 확정할 수 없어요. 제조사 공지에서 현재 장비와 소프트웨어에 맞는 대상을 확인하고, 제조사 공지의 업데이트 절차를 따르세요.