대상 독자: SSL VPN을 인터넷에 노출한 Cisco Secure Firewall ASA와 FTD의 관리자. 이 페이지는 Cisco의 권고문, NVD, CISA의 KEV 목록을 바탕으로 하며 공격 절차나 익스플로잇 코드는 없습니다.
진행 중: 새로운 내용이 발표되면 이 페이지를 업데이트합니다
2026년 10월 29일(JST) 기준아직 알려지지 않음
- 누가 어느 범위로 공격받고 있는지(Cisco는 세부 내용을 공개하지 않음)
- CISA KEV 등재(10월 28일 19:00 UTC 게시 목록에는 없음)
- NVD 자체 평가(상태: Received)
- JPCERT/CC 주의 환기(확인되지 않음)
Cisco는 10월 28일(UTC) 수정 버전과 함께 최종 버전 1.0으로 권고문을 게시했으며, 2026년 10월에 악용을 인지했다고 밝혔습니다.
오늘 해야 할 일
SSL VPN을 노출하고 있는지 확인
ASA에서는 실행 중인 구성에서 webvpn이 하나 이상의 인터페이스에서 enable로 되어 있는지 보십시오. FTD에서는 FMC나 FDM에서 배포된 원격 접속 VPN 정책과 그 결과 구성을 검토하십시오. Cisco는 로그인 서비스에 접근할 수 있는 것도 조건으로 합니다.
보조 인증이 있는 터널 그룹 찾기
Cisco는 터널 그룹에서 secondary-authentication-server-group을 찾으라고 안내합니다. tunnel-group-list enable이 설정되어 있다면 로그인 페이지에 표시되지 않는 그룹을 포함해 모든 그룹을 확인하십시오. 설정되어 있지 않다면 DefaultWEBVPNGroup을 확인하십시오. 기본 그룹이 보조 인증을 쓰고 있다면 그룹 목록을 제거해도 노출은 사라지지 않습니다. 영향받는 코드에 도달하는 데 VPN 로그인 성공은 필요하지 않습니다.
수정 버전으로 업그레이드
최소한 아래 표의 버전으로 옮기십시오. Cisco Software Checker로 사용 중인 버전이 영향을 받는지 확인할 수 있습니다. 8월에 CVE-2026-20349 때문에 업그레이드했더라도 이 권고문의 수정 버전은 더 새로우므로 다시 업그레이드해야 할 수 있습니다.
아직 업그레이드할 수 없다면 임시 완화책을 결정
DefaultWEBVPNGroup이 보조 인증을 쓰지 않는다면 no tunnel-group-list enable로 그룹 목록을 비활성화합니다. 그러면 이용자는 자신의 접속 프로필 이름을 알아야 합니다. 쓰고 있다면 no secondary-authentication-server-group으로 제거할 수 있지만 원격 접속 보안이 낮아집니다. Cisco는 둘 다 임시 조치라고 하며 먼저 테스트하라고 안내합니다.
재시작을 감시하고 VPN 중단에 대비
로그 모니터링이나 syslog 알림에서 설명할 수 없는 재시작이 있는지 보십시오(이 사이트의 판단). VPN이 끊길 때 누가 결정하고, 원격 근무자에게 어떻게 알리며, 어떤 업무가 멈추는지를 오늘 정해 두십시오.
수정 버전
| 제품 | 트레인 | 처음 수정된 버전 |
|---|---|---|
| ASA | 9.16 이하 | 9.16.4.104 |
| ASA | 9.18 | 9.18.4.96 |
| ASA | 9.20 | 9.20.4.50 |
| ASA | 9.22 | 9.22.3.200 |
| ASA | 9.23 | 9.23.1.48 |
| ASA | 9.24 | 9.24.1.27, 9.24.10.1 |
| FTD | 7.0 이하 | 7.0.11 |
| FTD | 7.2 | 7.2.13 |
| FTD | 7.4 | 7.4.9 |
| FTD | 7.6 | 7.6.7 |
| FTD | 7.7 | 7.7.14 |
| FTD | 10.0 | 10.0.3 |
| FTD | 10.1 | 10.1.1 |
Cisco는 Cloud-delivered Firewall, cdFMC, Secure Access, Secure FMC Software는 영향을 받지 않는다고 밝혔습니다.
1. SSL VPN 활성화
하나 이상의 인터페이스에서 webvpn 활성화
2. 로그인 서비스에 접근 가능
인터넷이나 다른 네트워크에서 접속 가능
3. 보조 인증 설정
터널 그룹의 secondary-authentication-server-group
공개된 내용
- CVE
- CVE-2026-76418 (Cisco 권고문 cisco-sa-asaftd-tunnel-dos-s6mgkb75, 버그 ID CSCwx26625)
- 유형
- CWE-690. 터널 그룹에 보조 인증이 설정된 경우의 논리 오류
- 심각도
- CVSS v3.1 8.6 (Cisco). 네트워크, 인증 불필요, 사용자 상호작용 불필요. 가용성에만 영향
- 영향
- 인증 없는 원격 공격자가 장비를 재시작시켜 서비스 거부를 일으킬 수 있음
- 공개
- 2026년 10월 28일(UTC), 최종 버전 1.0. Cisco TAC 지원 사례를 처리하던 중에 발견됨
- 악용
- Cisco PSIRT는 2026년 10월에 악용을 인지했다고 밝힘. 누가 어느 범위로 하는지는 세부 내용 없음
- 우회책
- 없음. 임시 완화책은 위 4단계에 있음
NVD는 같은 날 이 CVE를 상태 Received와 Cisco의 점수만으로 등록했습니다. 그 기록에는 악용을 「none」으로 표기한 CISA 코디네이터의 평가(10월 28일 22:45 UTC경)도 있어 Cisco의 발표와 충돌합니다. 어느 쪽이 더 새로운 정보를 반영하는지는 나중에 다시 확인하십시오.
8월의 CVE-2026-20349와의 관계
ASA와 FTD의 같은 SSL VPN 서비스에서 8월 11일 CVE-2026-20349(CVSS 8.6, 조작된 HTTP 요청으로 장비 재시작)가 공개되었고, Cisco는 악용을 인지했으며 CISA는 같은 날 KEV에 추가했습니다. 이것은 원인과 조건(여기서는 보조 인증)이 다른 별개의 취약점입니다. 방어하는 쪽이 알아 둘 점은 두 가지입니다.
- Cisco는 같은 장비 유형을 로그인 없이 재시작시키는 두 취약점의 악용을, 약 2.5개월 간격(8월 11일과 10월 28일)으로 공개하여 확인했다고 밝혔습니다. SSL VPN 장비가 재시작할 수 있다는 전제로 계획하십시오
- 수정 버전이 다르므로 8월에 패치한 장비도 아직 부족할 수 있습니다. ASA 9.18의 경우 8월의 수정은 9.18.4.94이고 이번에는 9.18.4.96입니다
아직 알려지지 않은 사항
| 항목 | 상태 |
|---|---|
| 실제 악용 | Cisco가 인지했다고 밝힘. 세부 내용 없음 |
| KEV 등재 | 10월 28일 19:00 UTC에 게시된 목록에는 없음 |
| NVD 평가 | Received (Cisco의 점수만 있음) |
| 일본 공공 기관의 주의 환기 | 이 사이트의 확인에서는 찾지 못함 |
출처
2026년 10월 29일에 확인했습니다.
- Cisco, "Cisco Secure Firewall ASA and Secure Firewall Threat Defense Software Remote Access SSL VPN Tunnel Denial of Service Vulnerability" (cisco-sa-asaftd-tunnel-dos-s6mgkb75, 2026년 10월 28일) — cisco.com
- NVD, CVE-2026-76418 — nvd.nist.gov
- CISA, Known Exploited Vulnerabilities Catalog — cisa.gov
- Cisco, "Cisco Secure Firewall ASA and FTD Software Remote Access SSL VPN Denial of Service Vulnerability" (cisco-sa-asaftd-vpn-dos-dzv4mQFF, CVE-2026-20349, 2026년 8월 11일, 9월 16일 업데이트) — cisco.com
업데이트 기록
2026-10-29: 최초 버전. Cisco의 권고문(10월 28일), NVD, CISA의 KEV 목록을 바탕으로 작성했습니다.
다음으로 읽을 글
- VPN 장비 방어: VPN 장비와 원격 접속을 방어하는 방법
- 같은 달 악용: 악용된 엣지 장비 취약점, 2026년 10월 중순
- 우선순위 정하기: 어떤 CVE를 먼저 수정할지 정하는 방법 (CVSS, EPSS, KEV)
- 대응 절차: 취약점 대응 플레이북
- 용어: CVSS란 무엇인가