Cisco Secure Firewall Management Center (FMC) 인증 우회 및 루트 권한 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-20079)

영향받는 벤더 / 생태계

Cisco

대상 컴포넌트 / 패키지

Secure Firewall Management Center, FMC

권고문 발행일

2026-03-04

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Cisco Secure Firewall Management Center (FMC) 소프트웨어의 웹 기반 관리 인터페이스

파급 효과

인증되지 않은 원격 공격자가 특수하게 조작된 HTTP 요청을 통해 인증을 우회하고, 기본 운영체제(OS)에 대한 루트(root) 권한을 획득하여 장비를 완전히 장악할 수 있음

권장 조치

제조사에서 제공하는 최신 보안 패치를 즉시 적용하고, 관리 인터페이스(HTTPS)에 대한 접근을 신뢰할 수 있는 IP로만 제한

영향받는 제품 및 버전 범위

Cisco Secure Firewall Management Center (FMC) 소프트웨어 전 버전 중 보안 패치가 적용되지 않은 버전이 대상입니다. (상세 버전은 Cisco Advisory 참조)

권장 패치 및 임시 완화(Workaround) 가이드

PATCH & WORKAROUND

가장 효과적인 조치는 Cisco 공식 소프트웨어 업데이트를 적용하는 것입니다. 패치 적용이 즉시 불가능한 경우 다음과 같은 완화 조치를 시행하십시오.

접근 제어 목록(ACL) 설정: FMC 관리 인터페이스(TCP 443)에 접근할 수 있는 소스 IP를 관리자 네트워크로 엄격히 제한하십시오.
침입 방지 시스템(IPS) 규칙 적용: Cisco Talos에서 배포한 관련 탐지 룰(SID)을 활성화하여 조작된 HTTP 요청을 차단하십시오.

bash

# 예시: 특정 관리 IP 대역 외의 443 포트 접근 차단 (개념적 예시)
access-list 100 permit tcp 192.168.10.0 0.0.0.255 host <FMC_IP> eq 443
access-list 100 deny tcp any host <FMC_IP> eq 443

권장 아키텍처 방어 통제 (Recommended Security Control)

NordLayer / Zero-Trust Network Access

Cisco Software Central을 통해 사용 중인 FMC 모델에 맞는 최신 릴리즈(7.2.x, 7.4.x, 7.6.x 등)로 즉시 업그레이드할 것을 강력히 권고합니다.

반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다

공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.

공격 표면(Attack Surface) 90% 감소 · 10분 배포

기업용 제로트러스트 네트워크 데모 및 견적 보기

취약점 발생 원리 및 공격 메커니즘

본 취약점(CVE-2026-20079)은 Cisco FMC 소프트웨어의 부팅 과정에서 생성되는 부적절한 시스템 프로세스로 인해 발생합니다. 공격자는 별도의 로그인 자격 증명 없이도 웹 인터페이스를 통해 조작된 HTTP 패킷을 전송함으로써 인증 로직을 우회(CWE-288)할 수 있습니다. 이 과정에서 공격자는 임의의 스크립트 파일을 실행할 수 있는 권한을 얻게 되며, 최종적으로 기저 OS의 최고 관리자 권한인 'root'를 획득하게 됩니다. CVSS 점수 10.0(Critical)과 CISA KEV 등재 사실은 이 취약점이 매우 치명적이며 실제 공격 현장에서 적극적으로 악용되고 있음을 나타냅니다.

공식 보안 권고문 및 참조 링크

NVD Original English Description

A vulnerability in the web interface of Cisco Secure Firewall Management Center (FMC) Software could allow an unauthenticated, remote attacker to bypass authentication and execute script files on an affected device to obtain root access to the underlying operating system.  This vulnerability is due to an improper system process that is created at boot time. An attacker could exploit this vulnerability by sending crafted HTTP requests to an affected device. A successful exploit could allow the attacker to execute a variety of scripts and commands that allow root access to the device. 

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-onprem-fmc-authbypass-5JPp45V2

Source: psirt@cisco.com · Vendor Advisory

http://seclists.org/fulldisclosure/2026/Aug/80

Source: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Mailing List, Third Party Advisory

https://blog.talosintelligence.com/fmc-ongoing-exploitation/

Source: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · Exploit, Third Party Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-20079

Source: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

SecOps Advisory Dispatch & RSS Feed

일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독

보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.

Slack / Teams / RSS 리더 연동: