길리랩blog

Cisco SD-WAN CVE-2026-20245: 관리 플레인 루트 권한 상승 대응

Cisco SD-WAN Manager의 CVE-2026-20245 루트 권한 상승 취약점과 관리 플레인 격리, 탐지, Zero Trust 완화 전략을 정리한다.

2026-08-14 · 최초 발행 2026-08-02

패치 공백이 관리 플레인에 만드는 위험

Cisco Catalyst SD-WAN Manager의 CLI 입력값 검증 문제를 악용하는 루트 권한 상승 제로데이 CVE-2026-20245가 야생에서 활발히 악용되고 있다. Cisco PSIRT는 2026년 6월까지 공식 패치를 제공하지 못한 상태다.

SD-WAN 관리 플레인은 수천 개 브랜치 사이트를 중앙에서 제어한다. 이 접점이 탈취되면 정책, 인증서, 기기 설정으로 이어지는 전체 제어 경로가 위협받는다. 이 글은 취약점의 공격 벡터와 패치 전 완화 조치, 관리 플레인 보안 설계 기준을 다룬다.

CVE-2026-20245의 영향 범위

CVE-2026-20245는 Cisco Catalyst SD-WAN Manager(구 vManage)의 CLI 처리 로직에 존재하는 권한 상승 취약점이다. CVSS v3.1 기준 8.8(High)로 분류되었으며, 로컬 인증 사용자가 특수 제작된 CLI 명령으로 root 권한을 획득할 수 있다.

제품 영향 버전 패치 상태
Cisco Catalyst SD-WAN Manager 20.9.x 이하 미패치 (2026-06 기준)
Cisco Catalyst SD-WAN Manager 20.12.x 미패치 (2026-06 기준)
Cisco IOS XE SD-WAN 17.9.x ~ 17.12.x 조사 중
Cisco vSmart Controller 20.x 영향 확인 중

Cisco PSIRT는 2026년 5월 공개한 취약점 어드바이저리 cisco-sa-sdwan-priv-esc-nEDmrJJq에서 야생 악용(in-the-wild exploitation)이 진행 중임을 공식 확인했다. 패치 ETA는 2026년 Q3로 예고됐지만, 일정은 확실하지 않다.

CLI 처리 경로에서 권한이 상승하는 방식

문제의 출발점은 SD-WAN Manager의 CLI 추상화 레이어다. 입력값을 운영체제 셸로 넘기기 전에 충분히 검증하지 않는 경로가 존재한다.

⤢✕검증 우회 성공정상 입력공격자 (로컬 인증 사용자)SD-WAN Manager CLI 접속(SSH / Web Console)입력값 검증 레이어운영체제 명령 실행 컨텍스트일반 CLI 명령 처리sudo / SUID 바이너리 오용root 셸 획득관리 플레인 완전 장악SD-WAN 정책 변조인증서/키 탈취백도어 설치연결된 vEdge 전체 접근

SD-WAN Manager의 CLI 처리 모듈은 운영 편의를 위해 shell passthrough 기능을 제공한다. 특정 진단 명령 경로에서는 입력 새니타이징이 빠져 있다.

# 취약한 패턴 (개념적 표현)
def execute_diag_command(user_input):
    # 입력값 검증 없이 직접 셸 실행
    cmd = f"sudo /usr/bin/vmanage-diag {user_input}"
    os.system(cmd)  # 명령 주입 가능

# 안전한 패턴
def execute_diag_command_safe(user_input):
    # 허용 목록 검증
    allowed = re.match(r'^[a-zA-Z0-9\-_\.]+$', user_input)
    if not allowed:
        raise SecurityException("Invalid input")
    subprocess.run(
        ["/usr/bin/vmanage-diag", user_input],
        shell=False  # 셸 해석 방지
    )

공격자는 인수에 ; id; sudo -i를 넣거나 SUID 바이너리를 활용한 GTFOBins 기법을 삽입해 root 컨텍스트로 상승한다. SD-WAN Manager에서는 여러 운영 기능이 root 권한으로 동작하므로 SUID 바이너리 악용 표면도 넓다.

관리 플레인이 하위 제어 경로를 갖는 구조

관리 플레인은 오케스트레이션 플레인, 컨트롤 플레인, 데이터 플레인으로 이어지는 SD-WAN 아키텍처의 상단에 놓인다.

⤢✕데이터 플레인정책 푸시 (NETCONF/YANG)인증 조율OMP 라우팅 업데이트컨트롤 플레인vSmart Controller라우팅 정책 · OMP 프로토콜오케스트레이션 플레인vBond인증 브로커 · 초기 접속 조율관리 플레인 (Management Plane)vManage / SD-WAN Manager정책 설정 · 모니터링 ·프로비저닝vEdge / cEdge실제 트래픽 포워딩브랜치 A브랜치 B

vManage는 전체 SD-WAN 패브릭에 NETCONF/YANG 기반 정책을 배포하고, vEdge 기기 인증을 위한 디지털 인증서를 관리한다. 수천 개 브랜치 기기에 적용할 템플릿을 관리하며, 사용자와 역할 관리도 담당한다.

따라서 CVE-2026-20245로 root 권한을 획득한 공격자는 관리 플레인 데이터베이스를 직접 조작하고, 인증서를 덤프하거나 악성 정책을 삽입할 수 있다.

이 구조에서 드러나는 설계 문제는 다음과 같다.

  • 진단 도구가 불필요하게 root 권한으로 실행되며, 일반 운영자 계정도 일부 sudo 권한을 상속받는다.
  • REST API는 입력을 엄격하게 검증하지만 CLI 레이어는 별도 검증 로직을 사용한다. 코드 재사용 대신 중복 구현이 입력 검증 불일치의 표면을 넓혔다.
  • root 권한을 얻으면 /var/log 아래의 감사 로그를 직접 수정할 수 있어 포렌식 증거를 지우기 쉬워진다.

야생 악용 흔적을 찾는 기준

Cisco PSIRT가 확인한 야생 악용 사례에서는 다음과 같은 패턴이 관찰됐다.

유형 지표 설명
프로세스 vmanage-diag 자식으로 bash 생성 비정상 자식 프로세스
파일 시스템 /tmp/.vman_* 임시 파일 공격 도구 스테이징
네트워크 vManage 서버에서 외부 IP로 역방향 셸 비인가 아웃바운드 연결
계정 /etc/passwd 수정 타임스탬프 변경 백도어 계정 추가
cron root crontab에 새 항목 추가 지속성 확보 메커니즘

SIEM에서는 CLI 실행 이벤트 안에서 셸 구문, 임시 경로, SUID 변경 관련 문자열을 함께 탐지할 수 있다.

title: Cisco SD-WAN Manager CVE-2026-20245 Privilege Escalation
status: experimental
description: Detects potential exploitation of CVE-2026-20245
logsource:
    product: cisco_sdwan
    service: vmanage_audit
detection:
    selection:
        EventID: 'CLI_EXEC'
        CommandLine|contains:
            - '; bash'
            - '$(id)'
            - '/tmp/'
            - 'sudo -i'
            - 'chmod +s'
    filter_legitimate:
        User: 'admin'
        CommandLine|contains: 'show'
    condition: selection and not filter_legitimate
falsepositives:
    - Legitimate diagnostic sessions
level: critical

auditd 규칙을 적용하면 의심스러운 프로세스 체인과 계정 파일 변경을 실시간으로 감시할 수 있다.

# /etc/audit/rules.d/sdwan-cve-2026-20245.rules
# vmanage-diag 자식 프로세스 감시
-a always,exit -F arch=b64 -S execve \
  -F ppid=$(pgrep vmanage-diag) \
  -k sdwan_priv_esc

# /etc/passwd, /etc/shadow 수정 감시
-w /etc/passwd -p wa -k sdwan_account_tamper
-w /etc/shadow -p wa -k sdwan_account_tamper

# SUID 바이너리 실행 감시
-a always,exit -F arch=b64 -S execve \
  -F euid=0 -F auid!=0 \
  -k sdwan_suid_exec

패치 전에는 접근면부터 줄인다

공식 패치가 없는 기간에는 네트워크 격리, CLI 접근 통제, MFA, 모니터링을 겹쳐 적용해야 한다.

⤢✕CVE-2026-20245 완화 로드맵즉시 적용(0-24시간)단기 적용(1-7일)중기 적용(1-4주)관리 플레인 네트워크 격리(OOB 전용 VLAN)CLI 접근 IP 화이트리스트 적용MFA 즉시 활성화최소 권한 계정 재검토(sudo 권한 감사)SIEM IOC 규칙 배포vManage 접속 세션 감사 로그검토Zero Trust 관리 플레인 접근아키텍처 설계SD-WAN Manager 이중화 및스냅샷 정책Cisco 패치 배포 모니터링 체계수립

관리 플레인 접근을 전용 OOB(Out-of-Band) 관리 네트워크로 제한하는 방식이 즉시 적용할 수 있는 완화책이다.

# ACL 예시 — vManage 관리 인터페이스 접근 제한
ip access-list extended PROTECT_VMANAGE_MGMT
 permit tcp 10.100.0.0 0.0.0.255 host 192.168.1.10 eq 443
 permit tcp 10.100.0.0 0.0.0.255 host 192.168.1.10 eq 22
 deny   ip any host 192.168.1.10 log
 permit ip any any

취약한 CLI 진단 명령은 운영상 필요한 최소 계정에만 허용한다.

# vManage 사용자 권한 감사
show aaa users
show rbac user-group

# 불필요한 operator 권한 제거
no user <username> group operator

# 읽기 전용 계정만 허용
user monitor-only group basic

TACACS+ 또는 RADIUS 기반 MFA를 적용하면 단순 자격증명 탈취만으로 CLI에 접근하기 어려워진다.

# SD-WAN Manager AAA 설정
aaa authentication login VTY_AUTH group TACACS+ local
aaa authorization exec VTY_AUTH group TACACS+ local

Zero Trust로 관리 접근을 재구성한다

관리 플레인에 Zero Trust 원칙을 적용할 때는 모든 관리 접근에 MFA와 인증서 기반 상호 인증(mTLS)을 적용하고, 단순 패스워드 기반 SSH 접근을 금지한다.

운영자 역할은 RBAC로 세분화하며, 진단 명령 실행 권한은 별도 역할로 분리한다. 관리 플레인 서버는 별도 보안 구역에 두고 동서 방향(East-West) 통신을 제한한다. 세션 단위 행위 분석을 이용해 정상 관리 패턴과 다른 활동도 실시간 탐지한다.

항목 Cisco SD-WAN VMware VeloCloud Fortinet SD-WAN
관리 플레인 격리 선택적 기본 제공 기본 제공
CLI 입력 검증 결함 존재 (CVE-2026-20245) 별도 취약점 없음 별도 취약점 없음
API 기반 관리 NETCONF/YANG + REST REST API 우선 REST API + GUI
Zero Trust 지원 추가 설정 필요 SASE 통합 ZTNA 통합
감사 로깅 syslog + SNMP 클라우드 중앙화 FortiAnalyzer 연동

패치 배포 시점을 확인할 수 있도록 Cisco PSIRT 어드바이저리를 모니터링한다.

#!/bin/bash
# Cisco PSIRT 어드바이저리 모니터링 스크립트
ADVISORY_ID="cisco-sa-sdwan-priv-esc-nEDmrJJq"
PSIRT_API="https://apix.cisco.com/security/advisories/v2/advisory/${ADVISORY_ID}"

# 패치 상태 확인 (Cisco PSIRT OpenVuln API)
curl -s -H "Authorization: Bearer ${CISCO_API_TOKEN}" \
     "${PSIRT_API}" | \
     jq '.advisories[0] | {status: .status, lastUpdated: .lastUpdated, cvssScore: .cvssBaseScore}'

Cisco Security Advisories RSS 피드(https://tools.cisco.com/security/center/rss.x?rss=bulletins)를 SIEM에 연동하면 패치 공지를 자동으로 수신할 수 있다.

SD-WAN을 겨냥하는 위협의 배경

CVE-2026-20245는 2026년 SD-WAN 보안 위협에서 반복되는 관리 플레인 문제를 보여준다. SD-WAN Manager 하나를 장악하면 수백~수천 개 브랜치 사이트의 제어권으로 이어질 수 있어 공격자에게 높은 ROI를 제공한다.

SD-WAN Manager는 Linux 기반 OS 위에서 네트워킹 애플리케이션과 CLI 프레임워크가 중첩돼 동작한다. 레이어 경계마다 입력 검증 불일치가 생기기 쉬운 이유다.

패치 적용은 네트워크 중단을 수반하는 경우가 많아 조직이 업데이트를 늦추기도 한다. 이 패치 공백은 제로데이 악용을 촉진한다. Cisco SD-WAN Cloud On-Ramp, VMware SASE처럼 클라우드 기반 관리 플레인 전환도 가속화되고 있어 클라우드 환경 특화 취약점 분석의 비중이 커지고 있다.

CVE-2026-20245는 관리 플레인이 단일 장애점(Single Point of Failure)이자 단일 침해점이 될 수 있음을 드러낸다. Cisco의 공식 패치가 배포되면 즉시 적용할 수 있도록 모니터링 자동화와 사전 테스트 환경을 병행하고, 그 전까지는 벤더 패치 사이클에만 의존하지 않는 방어 심층(Defense-in-Depth)을 유지해야 한다.

Sources

Cisco SD-WAN제로데이권한 상승관리 플레인네트워크 보안