Cisco SD-WAN CVE-2026-20245: 패치 없는 Catalyst Manager 루트 권한 상승 대응

Cisco Catalyst SD-WAN Manager CLI에서 루트 권한 상승으로 이어지는 제로데이 CVE-2026-20245가 실제 공격에 사용된 사실이 확인됐다. 2026년 6월까지 패치는 배포되지 않았고, Cisco PSIRT는 Mandiant(Google Cloud 자회사)의 신고를 받은 뒤 6월 초 공개 권고를 배포했다. 이 취약점은 2026년 Cisco SD-WAN에서 야생 악용이 확인된 7번째 제로데이다.

패치 일정도 공개되지 않은 상태여서, 운영 조직은 관리 플레인 접근을 줄이고 침해 징후를 찾아내는 완화 조치에 의존해야 한다.

항목	내용
CVE	CVE-2026-20245
영향 제품	Cisco Catalyst SD-WAN Manager
취약점 유형	커맨드 인젝션(Command Injection)에 의한 권한 상승 (EoP) → 루트 실행
선제 조건	netadmin 권한 필요
패치 상태	미배포 (2026년 6월 기준)
야생 악용	확인됨
연간 순서	2026년 SD-WAN 7번째 제로데이

CLI 파일 업로드가 루트 실행으로 이어지는 경로

문제의 출발점은 Catalyst SD-WAN Manager CLI 파일 업로드 인터페이스의 불충분한 사용자 입력 검증이다. 이 결함은 파일 처리 과정에서 OS 수준 명령 실행으로 이어질 수 있는 커맨드 인젝션 취약점이다. 이 CLI는 설정 파일과 템플릿 업로드 기능을 제공하지만, 업로드 경로나 파일 내용 검증 로직을 우회할 수 있는 구조로 설계됐다.

공격자는 먼저 netadmin 자격증명을 확보한다. 크리덴셜 탈취나 연쇄 CVE 체인이 이 단계에 사용될 수 있으며, 이처럼 선행 침투로 netadmin 권한을 확보하는 것이 관리 장악으로 이어지는 전제 조건이다. 이후 CLI에 특수 제작 파일을 올리면 파일 처리 중 루트 권한의 임의 명령 실행이 트리거되고, 장악된 루트 접근권한은 SD-WAN 전체 설정 변조로 이어질 수 있다.

⤢✕

배포 방식과 무관하게 노출되는 Manager

CVE-2026-20245는 Cisco Catalyst SD-WAN Manager를 사용하는 모든 배포 유형에 영향을 준다.

배포 유형	영향 여부
On-Prem Deployment	영향받음
Cisco SD-WAN Cloud-Pro	영향받음
Cisco SD-WAN Cloud (Cisco Managed)	영향받음
Cisco SD-WAN for Government (FedRAMP)	영향받음

FedRAMP 환경도 영향 대상에 포함되므로, 국내 공공기관의 SD-WAN 도입 환경도 같은 위협에 노출될 수 있다.

관리 플레인 침해가 엣지 설정으로 전파되는 구조

이 취약점은 SD-WAN의 Control Plane과 Management Plane에 대한 접근 통제 설계가 데이터 플레인 전체에 미치는 영향을 보여준다. 공격자가 netadmin 권한으로 Manager의 파일 업로드 경로를 악용하면 루트 실행 컨텍스트에 도달할 수 있고, 이후 Manager를 통해 여러 엣지 디바이스에 설정 변조 명령이 전달될 수 있다.

⤢✕

관리 플레인이 침해되면 데이터 플레인 전반의 엣지 디바이스에 악성 설정이 전파될 수 있다. SD-WAN 환경에서 관리 인터페이스를 별도 보안 경계로 다뤄야 하는 이유다.

패치 없는 동안 확인할 행위

Mandiant가 보고한 실제 공격 사례의 TTPs(전술·기술·절차)를 기준으로, 파일 업로드와 설정 변경을 중심에 두고 CLI 권한 사용 패턴을 함께 추적할 수 있다. 패치가 없는 상태에서는 이러한 탐지가 방어의 중심이 된다.

SIEM 탐지 쿼리 (Splunk 예시)

index=cisco_sdwan
| search event_type="cli_upload"
| where user_role="netadmin" AND file_type NOT IN ("approved_types")
| eval anomaly=if(upload_size > threshold OR file_path LIKE "%../%" , "HIGH", "NORMAL")
| where anomaly="HIGH"
| table _time, src_ip, username, file_name, file_path, upload_size

네트워크와 감사 로그에서는 다음 징후를 우선 확인한다.

SD-WAN Manager 관리 포트(443, 8443)로 향하는 비정상 대용량 파일 업로드
netadmin 계정이 CLI에서 실행하는 비정상 명령 시퀀스
짧은 시간 내 다수 엣지 디바이스의 설정 변경 이벤트 급증

IOC 유형	설명	탐지 방법
파일 업로드 이상	CLI로 비정상 파일 형식 업로드	SD-WAN 감사 로그 분석
권한 상승 이벤트	netadmin → root 실행 기록	syslog 파서 룰
설정 변경 급증	단시간 내 다수 엣지 설정 배포	SIEM 상관 분석
비정상 CLI 세션	근무 외 시간대 netadmin 로그인	UBA(사용자 행동 분석)

완화 조치는 관리 인터페이스부터 시작한다

가장 직접적인 완화책은 SD-WAN Manager 관리 인터페이스를 전용 Out-of-Band(OOB) 관리 네트워크로 격리하는 것이다. 관리 포트는 인터넷과 일반 사용자 VLAN에서 완전히 차단하고, 관리 접근은 전용 점프 서버(Bastion Host)를 통해서만 허용한다. 접근 가능한 IP 역시 관리자 워크스테이션 IP로 엄격히 화이트리스트를 적용한다.

netadmin 계정은 별도로 통제해야 한다. 로그인에는 TOTP·FIDO2 기반 MFA를 필수화하고, 해당 권한은 실제 필요한 인원에게만 부여한다. CLI 세션 기록을 강화해 비정상 명령 패턴에 알림을 설정하며, 현재 netadmin 권한을 보유한 계정을 전수 검토해 불필요한 계정은 즉시 비활성화한다.

관리 플레인 우선 공격이 남긴 과제

CVE-2026-20245가 2026년 7번째 Cisco SD-WAN 제로데이라는 점은 단일 소프트웨어 결함을 넘어 관리 플레인 보안의 구조적 문제를 드러낸다. 2026년 SD-WAN 공격에서 공통적으로 나타난 관리 플레인 우선 공격은 관리 인터페이스 노출을 최소화해야 한다는 점을 재확인한다.

Cisco는 SD-WAN Manager의 근본적인 입력 검증 강화를 포함한 아키텍처 개선 로드맵을 발표하지 않고 있다. 따라서 조직은 패치가 없는 동안 네트워크 세그멘테이션, 최소 권한 원칙, 제로데이 대응 프레임워크, Control Plane·Data Plane·Management Plane 역할 분리를 중심으로 완화 전략을 유지해야 한다.