대상 독자: Cisco Catalyst SD-WAN Manager(구 vManage)를 자체 서버나 자체 클라우드 계정에서 운영하는 조직과, 이를 대신 관리하는 파트너. Cisco의 관리형 클라우드 서비스는 이미 수정되었습니다. 이 페이지는 Cisco의 보안 권고, NVD, CISA의 KEV 카탈로그를 근거로 하며, 공격 절차나 익스플로잇 코드는 포함하지 않습니다.
진행 중: 추가 정보가 공개되는 대로 이 페이지를 업데이트합니다
- 대상
Cisco Catalyst SD-WAN Manager(구 vManage)를 자체 서버나 자체 클라우드 계정에서 운영하는 조직과, 이를 대신 관리하는 파트너. Cisco의 관리형 클라우드 서비스는 이미 수정되었습니다. 이 페이지는 Cisco의 보안 권고, NVD, CISA의 KEV 카탈로그를 근거로 하며, 공격 절차나 익스플로잇 코드는 포함하지 않습니다.
- 확인된 영향 범위표 보기 ↓
- 영향 릴리스와 수정 릴리스
- 로그인 불필요, 관리자 수준 API 접근
- 실제 공격
1개 더 보기
- Cisco 관리형 클라우드
- 아직 확인되지 않은 사항
- 공격받거나 침해된 시스템의 수
- 공격자가 관리자 권한을 얻은 뒤 무엇을 했는지
- KeyDrift라는 이름이 이 CVE를 가리키는지
- 지금 할 일절차 보기 ↓
- SD-WAN Manager와 릴리스를 확인하세요
- 사용 중인 트레인의 첫 수정 릴리스로 업그레이드하세요
- 관리 인터페이스에 닿을 수 있는 대상을 제한하세요
2개 더 보기
- 악용 흔적이 있는지 로그를 확인하세요
- 업그레이드 후 관리자 접근을 강화하세요
- 확인처(출처)출처 전체 ↓
- Cisco, 「Cisco Catalyst SD-WAN Manager API Authentication Bypass Vulnerability」(cisco-sa-sdwan-webauth-xr8beuuU, 2026년 9월 30일, 버전 1.1, 10월 2일)
- 마지막 확인
- 2026년 10월 31일 기준(일본 시간)
후속 발표 예정과 확인 기록
Cisco의 권고(버전 1.1, 10월 2일)와 KEV 항목은 공개되어 있습니다. 10월 31일에 권고, NVD, CISA의 KEV 피드(버전 2026.10.30)를 확인했습니다.
오늘 할 일
SD-WAN Manager와 릴리스를 확인하세요
대기(standby) 클러스터와 실험용 클러스터를 포함해 모든 SD-WAN Manager 인스턴스의 소프트웨어 릴리스를 기록하세요. Cisco에 따르면 모든 구성이 영향을 받습니다. Cisco SD-WAN Cloud(Cisco Managed)를 쓴다면 Cisco는 조치가 필요 없다고 밝혔으며, 버전은 서비스의 도움말(Help) 기능에서 볼 수 있습니다.
사용 중인 트레인의 첫 수정 릴리스로 업그레이드하세요
20.9는 20.9.10.1, 20.12는 20.12.8.2, 20.15는 20.15.6.1, 20.18은 20.18.4.1, 26.1은 26.1.2.1, 26.2는 26.2.1로. 20.9 이전 릴리스는 수정 릴리스로 이전해야 합니다. 시작하기 전에 컨트롤러와 엣지 라우터에 대해 Cisco의 호환성·업그레이드 매트릭스를 확인하세요.
관리 인터페이스에 닿을 수 있는 대상을 제한하세요
Cisco는 인터넷 등 신뢰할 수 없는 네트워크로부터의 접근을 차단하고, 방화벽 뒤에서 알려진 신뢰할 수 있는 호스트만 허용하라고 권합니다. 오늘 업그레이드할 수 없다면 이것부터 적용하세요. Cisco의 임시 Live Protect 보호 기능은 부분적인 보호만 제공하며, URI 인코딩을 쓰는 정상 사용자의 로그인을 막을 수 있습니다.
악용 흔적이 있는지 로그를 확인하세요
Cisco의 권고에는 확인할 로그 파일과 항목이 나와 있으며, 여기에는 알 수 없는 주소에서 내장 시스템 서비스 계정으로 로그인한 기록도 포함됩니다. 일부 항목은 정상 사용 중에도 나타날 수 있으므로 평소 트래픽과 비교하세요. TAC 케이스(Severity 3, 제목에 CVE-2026-76504)를 열기 전에 admin-tech 파일을 만드세요.
업그레이드 후 관리자 접근을 강화하세요
Cisco는 기본 관리자 비밀번호 변경, 관리자마다 필요한 권한만 가진 개별 계정 부여, 외부 서버로 로그 전송, 나중에 조사할 수 있을 만큼 로그 보존을 권장합니다. 악용 흔적을 발견했다면 그 기간에 엣지 라우터로 배포된 구성 변경도 검토하세요.
공개된 내용
- 제품
- Cisco Catalyst SD-WAN Manager(구 vManage). Cisco Catalyst SD-WAN의 중앙 관리 시스템
- 유형
- HTTP 요청의 URI 인코딩을 잘못 처리해 생기는 인증 우회(CWE-177)
- 인증
- 필요 없음. 결과: 관리자 권한으로 API 접근(Cisco)
- 심각도
- CVSS v3.1 9.8(Cisco)
- 영향 릴리스
- 아래 수정 릴리스 이전 릴리스의 모든 구성
- 수정 릴리스
- 20.9.10.1 / 20.12.8.2 / 20.15.6.1 / 20.18.4.1 / 26.1.2.1 / 26.2.1. Cisco 관리형 클라우드: 20.15.605(조치 불필요)
- 우회 방법
- 없음. 완화책: 신뢰할 수 없는 네트워크로부터의 접근 제한
- 악용
- 2026년 9월 Cisco 보안 팀이 실제 악용을 인지
- KEV
- 2026년 9월 30일 추가, 기한 10월 3일. CISA의 포렌식 분류(forensic triage) 요건 대상으로 표시됨
1. 릴리스 확인
모든 구성이 영향을 받음
2. 업그레이드와 접근 제한
첫 수정 릴리스, 신뢰할 수 있는 호스트만
3. 로그 확인
Cisco 권고의 점검 항목, 필요하면 TAC 케이스
수정 릴리스
| SD-WAN 릴리스 | 첫 수정 릴리스 |
|---|---|
| 20.9 이전 | 수정 릴리스로 이전 |
| 20.9 | 20.9.10.1 |
| 20.12 | 20.12.8.2 |
| 20.15 | 20.15.6.1 |
| 20.18 | 20.18.4.1 |
| 26.1 | 26.1.2.1 |
| 26.2 | 26.2.1 |
| Cisco SD-WAN Cloud(Cisco Managed) | 20.15.605(Cisco가 적용) |
타임라인
2026년 9월
Cisco 보안 팀이 실제 악용을 인지. Cisco는 지원 케이스를 해결하는 과정에서 이 취약점을 발견했다고 밝힘.9월 30일
Cisco가 권고와 수정 릴리스를 공개. CISA가 이 CVE를 KEV 카탈로그에 추가, 기한은 10월 3일.10월 2일
Cisco가 임시 Live Protect 보호 기능을 추가해 권고를 업데이트(버전 1.1).10월 3일
미국 연방 기관의 KEV 기한이 지남.10월 31일
권고의 추가 개정 없음. NVD 상태 Analyzed.
알려진 것과 알려지지 않은 것
| 항목 | 출처의 내용 | 상태 |
|---|---|---|
| 영향 릴리스와 수정 릴리스 | 모든 구성, 트레인별 수정 릴리스 | 확인(Cisco) |
| 로그인 불필요, 관리자 수준 API 접근 | 권고에 명시 | 확인(Cisco) |
| 실제 공격 | 9월 Cisco가 실제 악용을 인지 | 악용 확인(Cisco) |
| Cisco 관리형 클라우드 | 20.15.605에서 수정, 조치 불필요 | 확인(Cisco) |
| 공격받은 시스템의 수 | 공개되지 않음 | 공개되지 않음 |
| 접근 후 공격자의 행위 | 공개되지 않음 | 공개되지 않음 |
| KeyDrift라는 이름 | Cisco와 CISA는 사용하지 않음 | 공개되지 않음 |
왜 네트워크 전체에 중요한가
SD-WAN Manager는 자신이 제어하는 모든 지점 라우터의 구성을 설정합니다. 여기에 대한 관리자 접근은 서버 한 대가 아니라 조직 전체의 네트워크 설계에 대한 접근입니다. 그래서 Cisco의 권고는 업그레이드와 함께 관리 인터페이스를 인터넷에서 떼어 두는 데 중점을 둡니다.
권고는 이미 공격이 알려진 뒤 KEV 등재와 함께 공개되었습니다. 9월 30일 이전에 인터넷에서 접근 가능했던 시스템은 수정이 나오기 전부터 노출되었을 수 있으므로, 업그레이드만으로는 문제가 해결되지 않습니다. 로그 확인이 필요합니다.
출처
2026년 10월 31일(일본 시간)에 확인.
- Cisco, 「Cisco Catalyst SD-WAN Manager API Authentication Bypass Vulnerability」(cisco-sa-sdwan-webauth-xr8beuuU, 2026년 9월 30일, 버전 1.1, 10월 2일) — sec.cloudapps.cisco.com
- Cisco, Catalyst SD-WAN Hardening Guide — sec.cloudapps.cisco.com
- NVD, CVE-2026-76504 — nvd.nist.gov
- CISA, Known Exploited Vulnerabilities Catalog(2026년 9월 30일 추가) — cisa.gov
업데이트 기록
2026-10-31: Cisco의 권고, NVD, CISA의 KEV 카탈로그를 바탕으로 한 첫 버전.
다음으로 읽을 글
- 같은 시기에 악용된 취약점: 악용된 엣지 장비 취약점, 2026년 10월 중순
- 최근의 다른 Cisco 취약점: Cisco ASA 및 FTD VPN 취약점 CVE-2026-76418
- 노출된 장비 방어: VPN 장비와 원격 접속을 지키는 방법
- 수정 우선순위: 어떤 CVE부터 고칠까(CVSS·EPSS·KEV)
- 용어: CVSS란?