기술 워크스루

안녕하세요, 저는 지난 몇 주 동안 CVE-2026-20127에 대해 깊이 파고들었고, 발견한 내용을 정리하고 싶었습니다. 이건 CVSS 10.0/10.0 — 말 그대로 가능한 최고 점수 — 이며, Cisco Catalyst SD-WAN Controller(vSmart)와 SD-WAN Manager(vManage)의 컨트롤 플레인 피어링 메커니즘에서의 사전 인증 우회입니다.

Cisco 권고나 CISA 긴급 지시 ED-26-03을 읽으셨다면, 저와 같은 점을 눈치채셨을 겁니다: 그들은 무엇을 패치해야 하는지는 알려주지만 왜 손상되었는지는 알려주지 않습니다. "부적절한 인증" — 좋아요, 그런데 어떻게? 실제로 내부에서 무슨 일이 일어나고 있는 걸까요?

그 점이 저를 괴롭혀서 파고들었습니다. 이 워크스루는 제가 알아낸 것을 설명하려는 시도입니다.

왜 이게 무섭다고 생각하는가

제가 읽어본 대부분의 인증 우회는 웹 대시보드나 REST API에 접근하게 해줍니다. 짜증나나요? 물론이죠. 하지만 이건 SD-WAN 컨트롤 플레인에 접근하게 해줍니다 — 네트워크의 모든 지사, 데이터 센터, 클라우드 엣지가 서로 통신하는 방식을 결정하는 그 부분입니다. 이걸 통과한 공격자는 설정을 읽는 것에 그치지 않습니다. 전체 WAN을 실시간으로 재작성하고, rogue 피어를 추가하며, 체인 공격을 통해 root 권한으로 전환할 수도 있습니다.

그리고 가장 놀라운 점? UAT-8616이라는 위협 행위자가 적어도 2023년부터 이 취약점을 악용해온 것으로 보입니다. CVE가 공개적으로 공개된 것은 2026년 2월 25일입니다. 3년입니다. 그건... 정말 많은 시간이죠.

빠른 고지

참고: 분명히 말씀드리고 싶습니다 — 여기의 모든 내용은 공개 소스에서 재구성된 것입니다. Cisco 권고, CISA/ACSC 지침, Cisco Talos 보고, 패치 노트, 프로토콜 사양입니다. 저는 Cisco의 독점 소스 코드에 접근할 수 없습니다. 보게 될 모든 코드는 시스템 동작 방식, 패치가 변경한 내용, 권고가 설명하는 내용을 바탕으로 제가 조합한 의사 코드 또는 프로토콜 수준의 재구성입니다.

저는 기본적으로 이 CVE에 매우 관심을 갖게 된 학습 중인 개발자입니다. 세부 사항을 잘못 이해한 부분이 있다면 알려주세요. 하지만 접근성을 유지하면서 최대한 정확하게 작성하려고 노력했습니다.

함께 살펴볼 내용

1. SD-WAN 컨트롤 플레인 피어링이 작동하는 방식 (저도 처음부터 배워야 했습니다)
2. 인증 로직이 무너지는 지점
3. 공격자가 실제로 이를 악용하는 방법 — 단계별로
4. 교묘한 사후 악용 기법을 포함한 완전한 공격 체인
5. 패치가 실제로 수정하는 내용

영향을 받는 버전

대상 독자

솔직히 말하면, 저는 주로 저 같은 사람들을 위해 이 글을 썼습니다 — Cisco SD-WAN 전문가는 아니지만 CVSS 10.0에서 실제로 무슨 일이 일어나고 있는지 이해하고 싶은 보안 담당자들입니다. 하지만 다음 분들에게도 유용할 것입니다:

• SD-WAN을 운영하면서 패치가 왜 중요한지 알고 싶은 네트워크 엔지니어 — "적용하세요"라는 말만이 아니라
• 로그에서 무엇을 찾아야 할지 파악하는 SOC 분석가
• 컨트롤 플레인 공격을 연구하는 레드 팀원
• "전체가 어떻게 무너졌는가"에 대한 좋은 보안 이야기를 좋아하는 모든 분

다음 섹션: SD-WAN Crash Course →