시스코 Secure Email Gateway AMP 임의 파일 쓰기 및 루트 권한 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-76519)

영향받는 벤더 / 생태계

Cisco

대상 컴포넌트 / 패키지

Secure Email Gateway, Email Security Appliance (ESA), AsyncOS

권고문 발행일

2026-10-14

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

AMP(Advanced Malware Protection) 기능 및 파일 평판 서비스가 활성화된 Cisco Secure Email Gateway 전 버전.

파급 효과

인증되지 않은 원격 공격자가 특수하게 제작된 이메일 첨부파일을 전송하여 시스템 파일을 변조하고, 최종적으로 OS 루트(root) 권한을 획득하여 장비를 완전히 장악할 수 있습니다.

권장 조치

제조사에서 제공하는 최신 AsyncOS 보안 패치를 즉시 적용하십시오. 즉각적인 패치가 어려운 경우 AMP 파일 평판 기능을 비활성화해야 합니다.

영향받는 제품 및 버전 범위

Cisco Secure Email Gateway (구 ESA) 제품군 중 AMP 기능이 활성화된 모든 버전이 영향을 받습니다. 특히 외부망과 접점이 있는 메일 게이트웨이 특성상 공격 노출도가 매우 높습니다.

권장 패치 및 임시 완화(Workaround) 가이드

PATCH & WORKAROUND

공식 패치 적용: Cisco Software Central을 방문하여 사용 중인 모델에 해당하는 최신 AsyncOS 릴리스로 업그레이드하십시오.
임시 완화 조치: 패치 적용 전까지 AMP 파일 평판(File Reputation) 기능을 비활성화하여 공격 벡터를 차단하십시오.

bash

   # CLI 접속 후 아래 명령 수행
   antimalwareconfig -> file reputation -> disable

침해 지표(IoC) 점검: 시스템 로그에서 비정상적인 파일 생성 이력이나 /etc/passwd, /etc/shadow 등 주요 설정 파일의 변경 여부를 모니터링하십시오.

권장 아키텍처 방어 통제 (Recommended Security Control)

NordLayer / Zero-Trust Network Access

CISA KEV 등재 및 EPSS 점수(0.94)가 매우 높으므로, 24시간 이내에 긴급 패치 적용을 권고합니다.

반복되는 SSL-VPN 및 방화벽 Zero-Day 해킹, 이제 외부 포트를 닫고 ZTNA로 전환할 때입니다

공인 IP에 노출된 VPN 장비와 관리 콘솔은 랜섬웨어 그룹의 1순위 타겟입니다. 네트워크 포트 노출 없이 신원 기반으로 안전하게 사내 인프라에 접속하세요.

공격 표면(Attack Surface) 90% 감소 · 10분 배포

기업용 제로트러스트 네트워크 데모 및 견적 보기

취약점 발생 원리 및 공격 메커니즘

본 취약점(CVE-2026-76519)은 Cisco Secure Email Gateway의 AMP(Advanced Malware Protection) 엔진이 이메일 첨부파일을 처리하는 과정에서 발생하는 경로 탐색(Path Traversal, CWE-23) 결함입니다. 파일 평판 서비스가 활성화된 경우, 시스템은 첨부파일의 메타데이터를 분석하는데, 이때 파일 경로에 대한 검증이 미흡하여 공격자가 OS 내부의 임의 디렉토리에 파일을 생성하거나 기존 시스템 파일을 덮어쓸 수 있습니다. 특히 이 프로세스는 높은 권한으로 실행되므로, 공격자는 악성 스크립트나 바이너리를 시스템 실행 경로에 배치함으로써 인증 없이 루트 권한으로 원격 코드 실행(RCE)이 가능해집니다. 현재 CISA KEV(Known Exploited Vulnerabilities)에 등재되어 실제 공격 사례가 보고되고 있으므로 신속한 대응이 필수적입니다.

공식 보안 권고문 및 참조 링크

NVD Original English Description

A vulnerability in the Advanced Malware Protection (AMP) feature of Cisco Secure Email Gateway could allow an unauthenticated, remote attacker to write arbitrary files on the underlying operating system. This vulnerability is due to improper handling of email attachments when the file reputation service is enabled. An attacker could exploit this vulnerability by sending an email that contains a crafted attachment through an affected device. A successful exploit could allow the attacker to write arbitrary files and execute commands with root privileges on the underlying operating system.

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-afw-zqYJkjxp

Source: psirt@cisco.com · Vendor Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-76519

Source: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource

SecOps Advisory Dispatch & RSS Feed

일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독

보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.

Slack / Teams / RSS 리더 연동: