Cisco Catalyst SD-WAN Manager 데이터 수집 에이전트(DCA) 자격증명 노출 및 권한 획득 취약점 (CVE-2026-20128)

영향받는 벤더 / 생태계

cisco

대상 컴포넌트 / 패키지

catalyst sd-wan manager

권고문 발행일

2026-02-25

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Cisco Catalyst SD-WAN Manager 20.18 미만 버전

파급 효과

인증되지 않은 원격 공격자가 조작된 HTTP 요청을 통해 DCA 비밀번호가 포함된 자격증명 파일을 탈취하고, 이를 통해 시스템에 대한 DCA 사용자 권한을 획득할 수 있습니다

권장 조치

Cisco Catalyst SD-WAN Manager를 최신 패치 버전(20.18 이상)으로 즉시 업그레이드하십시오

영향받는 제품 및 버전 범위

Cisco Catalyst SD-WAN Manager 20.18 미만 버전 전체 (20.18 및 이후 버전은 본 취약점의 영향을 받지 않음)

권장 패치 및 임시 완화(Workaround) 가이드

PATCH & WORKAROUND

1. 공식 패치 적용

Cisco 공식 권고에 따라 시스템을 20.18 이상 버전으로 업그레이드하십시오. 해당 버전에서는 DCA 자격증명 노출 결함이 해결되었습니다.

2. 임시 완화 조치 (패치 적용 전)

즉각적인 패치가 어려운 경우, 아래의 완화 조치를 검토하십시오:

네트워크 접근 제어(ACL): SD-WAN Manager 관리 인터페이스 및 HTTP/HTTPS 포트에 대한 접근을 신뢰할 수 있는 관리자 IP 대역으로만 제한하십시오.
WAF 및 IPS 룰 적용: 웹 애플리케이션 방화벽(WAF) 또는 침입방지시스템(IPS)에서 비정상적인 경로 탐색(Path Traversal) 패턴이나 자격증명 파일 경로에 대한 무단 HTTP GET 요청을 차단하도록 규칙을 설정하십시오.
DCA 기능 비활성화: 사용하지 않는 경우, SD-WAN Manager 설정에서 데이터 수집 에이전트(DCA) 기능을 비활성화 처리하십시오.

권장 아키텍처 방어 통제 (Recommended Security Control)

NordLayer / Zero-Trust Network Access

CISA KEV에 등재되어 실제 악용이 확인된 고위험 취약점이므로, 신속히 Cisco Catalyst SD-WAN Manager를 20.18 이상 버전으로 업데이트하십시오.

반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다

공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.

공격 표면(Attack Surface) 90% 감소 · 10분 배포

기업용 제로트러스트 네트워크 데모 및 견적 보기

취약점 발생 원리 및 공격 메커니즘

본 취약점(CVE-2026-20128)은 Cisco Catalyst SD-WAN Manager의 데이터 수집 에이전트(DCA) 기능 내에 DCA 사용자의 자격증명 파일이 평문 또는 복호화 가능한 형태로 시스템 내에 노출되어 있어 발생합니다.

인증되지 않은 원격의 공격자는 특수하게 조작된 HTTP 요청을 취약한 시스템에 전송함으로써, 해당 자격증명 파일을 무단으로 읽어 들일 수 있습니다. 탈취한 DCA 비밀번호를 악용하면 공격자는 대상 시스템 또는 네트워크 내의 다른 연관 시스템에 접근하여 DCA 사용자 권한을 획득하고 추가적인 악의적 행위를 수행할 수 있게 됩니다.

본 취약점은 실제 공격에 악용된 이력이 확인되어 CISA KEV(Known Exploited Vulnerabilities)에 등재되었으며, EPSS 점수가 0.94(94%)에 달해 매우 신속한 조치가 요구됩니다.

공식 보안 권고문 및 참조 링크

NVD Original English Description

A vulnerability in the Data Collection Agent (DCA) feature of Cisco Catalyst SD-WAN Manager could allow an unauthenticated, remote attacker to gain DCA user privileges on an affected system. This vulnerability is due to the presence of a credential file for the DCA user on an affected system. An attacker could exploit this vulnerability by sending a crafted HTTP request and reading the file that contains the DCA password from that affected system. A successful exploit could allow the attacker to access another affected system and gain DCA user privileges. Note: Cisco Catalyst SD-WAN Manager releases 20.18 and later are not affected by this vulnerability.

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-authbp-qwCX8D4v

Source: psirt@cisco.com · Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-20128

Source: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

SecOps Advisory Dispatch & RSS Feed

일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독

보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.

Slack / Teams / RSS 리더 연동: