CVE-2026-76460은 단순한 관리 콘솔 취약점이 아니다. 실제로 악용되고 있는 시스코 Cisco Identity Services Engine(ISE) 및 ISE Passive Identity Connector(ISE-PIC) 취약점으로, 인증되지 않은 원격 공격자가 취약한 API 엔드포인트에 조작된 요청을 보내 인증을 우회할 수 있다. 시스코 관련 공개 보고에 따르면 공격에 성공하면 영향을 받는 장비에서 루트 권한으로 명령을 실행할 수 있다. 1348

왜 지금 긴급 대응해야 하나

이 취약점의 CVSS 점수는 최고점인 10.0이다. 장비 구성과 무관하게 ISE와 ISE-PIC에 영향을 미치며, 유효한 계정, 사용자 상호작용, 특별한 설정이 필요하지 않다. 공격자는 조작된 요청을 취약한 API 엔드포인트로 보내 웹 기반 관리 인터페이스의 인증 검사를 우회할 수 있다. 1340

시스코는 2026년 9월 16일 실제 악용 사실을 공개했다. 미국 사이버보안·인프라보안국(CISA)은 같은 날 이 취약점을 실제 악용이 확인된 취약점 목록인 KEV(Known Exploited Vulnerabilities) 카탈로그에 올렸고, 미국 연방 민간 기관에 9월 19일까지 조치를 완료하도록 요구했다. 1915

근본 취약점을 제거하는 우회책은 없다. 지원되는 릴리스에서는 시스코가 제공한 수정 소프트웨어를 설치하는 것이 해결책이다. 216

ISE에서의 인증 우회가 특히 위험한 이유

ISE는 네트워크에서 사용자·장비의 신원을 확인하고 접근 정책을 적용하는 플랫폼이다. 따라서 침해되면 조직의 중요한 접근 통제 지점 자체가 공격자에게 노출될 수 있다. 기술적으로는 API 엔드포인트의 인증 통제가 불충분해 조작된 요청이 예정된 접근 검사를 건너뛸 수 있는 문제다. 140

CVE-2026-76460의 영향은 관리 화면 열람에 그치지 않는다. 인증되지 않은 공격자가 루트 권한의 명령 실행을 확보할 수 있어, 해당 어플라이언스 또는 가상 노드를 장악할 가능성이 있다. 348

특히 ISE 관리·API 인터페이스가 신뢰할 수 없는 네트워크에 노출됐거나 내부에서 광범위하게 접근 가능한 환경이라면, 취약 시스템은 잠재적 침해사고로 다뤄야 한다. 다만 공개된 정보만으로는 공격자 신원, 피해 조직의 범위, 익스플로잇 도구, 최초 악용 시점, 침해 뒤의 구체적 행위는 확인되지 않았다. 115

수정된 Cisco ISE·ISE-PIC 릴리스

시스코가 제공한 최초 수정 릴리스는 다음과 같다.

릴리스 계열	최초 수정 릴리스
ISE / ISE-PIC 3.1	3.1 Patch 12
ISE / ISE-PIC 3.2	3.2 Patch 11
ISE / ISE-PIC 3.3	3.3 Patch 12
ISE / ISE-PIC 3.4	3.4 Patch 7
ISE / ISE-PIC 3.5	3.5 Patch 4

31348

ISE 3.0을 사용하는 조직은 지원되는 릴리스로의 마이그레이션을 계획해야 한다. 3.0은 소프트웨어 유지보수가 종료돼 수정 패치를 받지 못한다. 마이그레이션 전까지 관리·API 인터페이스 노출을 제한하면 위험을 일부 줄일 수는 있지만, 이는 수정된 지원 버전으로 이전하는 조치를 대체하지 못한다. 21648

실무 대응 순서

1. 모든 영향 노드를 식별하고 지원 버전을 패치한다

관리(Administration), 정책 서비스(Policy Service), 모니터링(Monitoring), 패시브 아이덴티티 노드를 포함해 ISE와 ISE-PIC 배포 현황을 전수 파악한다. 설치된 릴리스와 패치 수준을 확인한 뒤, 지원되는 시스템을 해당 최초 수정 릴리스 또는 그 이후 버전으로 업데이트한다. 313

2. 가능한 경우 변경 전 증거를 보존한다

패치나 재구축으로 운영에 영향을 주기 전에 관련 로그, 시스템·네트워크 상태, 구성 정보, 벤더가 지원하는 지원 번들(support bundle)을 수집한다. CISA의 KEV 항목도 기관에 벤더 조치 지침과 함께 포렌식 분류 요구사항을 따르도록 안내한다. 1

3. 비인가 접근 흔적을 조사한다

ISE 애플리케이션 및 관리 감사 기록에서 예상 밖의 API 활동, 인증 이벤트, 관리자 계정 변경, 정책 변경, 인증서 변경, 구성 내보내기, 저장소(repository) 변경을 확인한다. 방화벽, VPN, 리버스 프록시 또는 로드밸런서, DNS, EDR, 네트워크 플로우 텔레메트리와 대조해 ISE 관리 인터페이스 연결이나 비정상적인 외부 통신이 있었는지도 살핀다.

조사 범위는 패치 이전 시점부터 현재까지로 잡아야 한다. 보고된 영향에 루트 권한 실행이 포함되는 만큼, 웹 관리 화면이 정상으로 보인다는 사실만으로 시스템이 한 번도 접근되지 않았다고 판단할 수는 없다. 348

4. 침해 가능성이 있는 시스템은 재이미징을 검토한다

패치는 취약한 진입 경로를 닫지만, 이미 침해된 호스트가 깨끗하다는 것을 보장하지는 않는다. 실제 악용 증거, 설명되지 않는 루트 권한 수준의 변경, 수상한 프로세스·파일·연결, 변경된 신뢰 자료, 원인을 설명할 수 없는 구성 변경이 있다면 단순 패치보다 노드 재구축을 우선 검토해야 한다.

복구는 의심되는 침해 기간보다 앞선 시점의 검증된 백업만 사용하고, 재연결 전 수정 릴리스를 적용해야 한다. 영향을 받은 노드에 저장됐거나 해당 노드에서 접근 가능했던 자격 증명과 비밀값도 교체해야 한다. 여기에는 ISE 관리자 계정, API·저장소 자격 증명, 노출 가능성이 있는 인증서와 키가 포함될 수 있다.

같은 주에 공개된 CVE-2026-76461과의 차이

CVE-2026-76460은 시스코가 그 주에 공개한 두 번째 실제 악용 제로데이였다. 다른 취약점인 CVE-2026-76461은 Cisco Secure Email Gateway용 Cisco AsyncOS의 이메일 파싱 과정에 있는 CVSS 9.8 SQL 인젝션 취약점이다. 인증되지 않은 원격 공격자가 악성 SQL 구문이 담긴 조작된 이메일을 취약한 게이트웨이로 보내면 루트 권한 명령 실행으로 이어질 수 있다. 3344

두 취약점은 진입 지점이 다르다.

• CVE-2026-76460: ISE 또는 ISE-PIC API 엔드포인트로 보낸 조작된 요청이 인증을 우회한다. 140
• CVE-2026-76461: 악성 이메일 콘텐츠가 Cisco Secure Email Gateway의 취약한 이메일 파싱 로직에 도달한다. 33

두 취약점 모두 실제 악용이 보고됐고, 원격에서 도달할 수 있으며, 사전 인증 없이 루트 권한 수준의 제어로 이어질 수 있어 긴급하다. 153344

현재 제공된 근거는 CVE-2026-76461의 직접적인 영향 제품으로 Cisco Secure Email Gateway를 확인한다. 일부 보고서는 더 넓은 시스코 이메일 제품 권고에서 Cisco Secure Email and Web Manager도 언급하지만, 패치 계획은 배포 중인 제품별로 시스코의 공식 권고와 릴리스 지침을 기준으로 세워야 한다. 3341

아직 공개되지 않은 핵심 정보

실제 악용과 기술적 심각성은 확인됐지만, 운영 측면의 핵심 정보는 여전히 공개적으로 알려지지 않았다. 시스코의 공개 자료와 당시 보도는 공격 주체, 피해 조직 수, 악용 시작 시점, 사용 도구, 침해 이후 공격자의 행위를 확정하지 않는다. 115

공개 이후 스캐닝 증가 보도는 조치 속도를 높여야 할 또 하나의 이유로 볼 수 있다. 하지만 제공된 근거만으로 스캐닝 규모를 신뢰성 있게 추정하거나 특정 공격자에게 귀속할 수는 없다. 분명한 결론은 하나다. 우회책이 없고 실제 악용 중이며, 신원·접근 통제 인프라에서 인증 없이 공격 가능한 최고 심각도 취약점은 즉시 패치해야 한다. 노출 가능성이나 의심 활동이 있었다면 침해 조사도 병행해야 한다. 1348

CVE-2026-76460은 단순한 관리 콘솔 취약점이 아니다. 실제로 악용되고 있는 시스코 Cisco Identity Services Engine(ISE) 및 ISE Passive Identity Connector(ISE-PIC) 취약점으로, 인증되지 않은 원격 공격자가 취약한 API 엔드포인트에 조작된 요청을 보내 인증을 우회할 수 있다. 시스코 관련 공개 보고에 따르면 공격에 성공하면 영향을 받는 장비에서 루트 권한으로 명령을 실행할 수 있다. 1348

왜 지금 긴급 대응해야 하나

이 취약점의 CVSS 점수는 최고점인 10.0이다. 장비 구성과 무관하게 ISE와 ISE-PIC에 영향을 미치며, 유효한 계정, 사용자 상호작용, 특별한 설정이 필요하지 않다. 공격자는 조작된 요청을 취약한 API 엔드포인트로 보내 웹 기반 관리 인터페이스의 인증 검사를 우회할 수 있다. 1340

시스코는 2026년 9월 16일 실제 악용 사실을 공개했다. 미국 사이버보안·인프라보안국(CISA)은 같은 날 이 취약점을 실제 악용이 확인된 취약점 목록인 KEV(Known Exploited Vulnerabilities) 카탈로그에 올렸고, 미국 연방 민간 기관에 9월 19일까지 조치를 완료하도록 요구했다. 1915

근본 취약점을 제거하는 우회책은 없다. 지원되는 릴리스에서는 시스코가 제공한 수정 소프트웨어를 설치하는 것이 해결책이다. 216

ISE에서의 인증 우회가 특히 위험한 이유

ISE는 네트워크에서 사용자·장비의 신원을 확인하고 접근 정책을 적용하는 플랫폼이다. 따라서 침해되면 조직의 중요한 접근 통제 지점 자체가 공격자에게 노출될 수 있다. 기술적으로는 API 엔드포인트의 인증 통제가 불충분해 조작된 요청이 예정된 접근 검사를 건너뛸 수 있는 문제다. 140

CVE-2026-76460의 영향은 관리 화면 열람에 그치지 않는다. 인증되지 않은 공격자가 루트 권한의 명령 실행을 확보할 수 있어, 해당 어플라이언스 또는 가상 노드를 장악할 가능성이 있다. 348

특히 ISE 관리·API 인터페이스가 신뢰할 수 없는 네트워크에 노출됐거나 내부에서 광범위하게 접근 가능한 환경이라면, 취약 시스템은 잠재적 침해사고로 다뤄야 한다. 다만 공개된 정보만으로는 공격자 신원, 피해 조직의 범위, 익스플로잇 도구, 최초 악용 시점, 침해 뒤의 구체적 행위는 확인되지 않았다. 115

수정된 Cisco ISE·ISE-PIC 릴리스

시스코가 제공한 최초 수정 릴리스는 다음과 같다.

릴리스 계열	최초 수정 릴리스
ISE / ISE-PIC 3.1	3.1 Patch 12
ISE / ISE-PIC 3.2	3.2 Patch 11
ISE / ISE-PIC 3.3	3.3 Patch 12
ISE / ISE-PIC 3.4	3.4 Patch 7
ISE / ISE-PIC 3.5	3.5 Patch 4

31348

ISE 3.0을 사용하는 조직은 지원되는 릴리스로의 마이그레이션을 계획해야 한다. 3.0은 소프트웨어 유지보수가 종료돼 수정 패치를 받지 못한다. 마이그레이션 전까지 관리·API 인터페이스 노출을 제한하면 위험을 일부 줄일 수는 있지만, 이는 수정된 지원 버전으로 이전하는 조치를 대체하지 못한다. 21648

실무 대응 순서

1. 모든 영향 노드를 식별하고 지원 버전을 패치한다

관리(Administration), 정책 서비스(Policy Service), 모니터링(Monitoring), 패시브 아이덴티티 노드를 포함해 ISE와 ISE-PIC 배포 현황을 전수 파악한다. 설치된 릴리스와 패치 수준을 확인한 뒤, 지원되는 시스템을 해당 최초 수정 릴리스 또는 그 이후 버전으로 업데이트한다. 313

2. 가능한 경우 변경 전 증거를 보존한다

패치나 재구축으로 운영에 영향을 주기 전에 관련 로그, 시스템·네트워크 상태, 구성 정보, 벤더가 지원하는 지원 번들(support bundle)을 수집한다. CISA의 KEV 항목도 기관에 벤더 조치 지침과 함께 포렌식 분류 요구사항을 따르도록 안내한다. 1

3. 비인가 접근 흔적을 조사한다

ISE 애플리케이션 및 관리 감사 기록에서 예상 밖의 API 활동, 인증 이벤트, 관리자 계정 변경, 정책 변경, 인증서 변경, 구성 내보내기, 저장소(repository) 변경을 확인한다. 방화벽, VPN, 리버스 프록시 또는 로드밸런서, DNS, EDR, 네트워크 플로우 텔레메트리와 대조해 ISE 관리 인터페이스 연결이나 비정상적인 외부 통신이 있었는지도 살핀다.

조사 범위는 패치 이전 시점부터 현재까지로 잡아야 한다. 보고된 영향에 루트 권한 실행이 포함되는 만큼, 웹 관리 화면이 정상으로 보인다는 사실만으로 시스템이 한 번도 접근되지 않았다고 판단할 수는 없다. 348

4. 침해 가능성이 있는 시스템은 재이미징을 검토한다

패치는 취약한 진입 경로를 닫지만, 이미 침해된 호스트가 깨끗하다는 것을 보장하지는 않는다. 실제 악용 증거, 설명되지 않는 루트 권한 수준의 변경, 수상한 프로세스·파일·연결, 변경된 신뢰 자료, 원인을 설명할 수 없는 구성 변경이 있다면 단순 패치보다 노드 재구축을 우선 검토해야 한다.

복구는 의심되는 침해 기간보다 앞선 시점의 검증된 백업만 사용하고, 재연결 전 수정 릴리스를 적용해야 한다. 영향을 받은 노드에 저장됐거나 해당 노드에서 접근 가능했던 자격 증명과 비밀값도 교체해야 한다. 여기에는 ISE 관리자 계정, API·저장소 자격 증명, 노출 가능성이 있는 인증서와 키가 포함될 수 있다.

같은 주에 공개된 CVE-2026-76461과의 차이

CVE-2026-76460은 시스코가 그 주에 공개한 두 번째 실제 악용 제로데이였다. 다른 취약점인 CVE-2026-76461은 Cisco Secure Email Gateway용 Cisco AsyncOS의 이메일 파싱 과정에 있는 CVSS 9.8 SQL 인젝션 취약점이다. 인증되지 않은 원격 공격자가 악성 SQL 구문이 담긴 조작된 이메일을 취약한 게이트웨이로 보내면 루트 권한 명령 실행으로 이어질 수 있다. 3344

두 취약점은 진입 지점이 다르다.

• CVE-2026-76460: ISE 또는 ISE-PIC API 엔드포인트로 보낸 조작된 요청이 인증을 우회한다. 140
• CVE-2026-76461: 악성 이메일 콘텐츠가 Cisco Secure Email Gateway의 취약한 이메일 파싱 로직에 도달한다. 33

두 취약점 모두 실제 악용이 보고됐고, 원격에서 도달할 수 있으며, 사전 인증 없이 루트 권한 수준의 제어로 이어질 수 있어 긴급하다. 153344

현재 제공된 근거는 CVE-2026-76461의 직접적인 영향 제품으로 Cisco Secure Email Gateway를 확인한다. 일부 보고서는 더 넓은 시스코 이메일 제품 권고에서 Cisco Secure Email and Web Manager도 언급하지만, 패치 계획은 배포 중인 제품별로 시스코의 공식 권고와 릴리스 지침을 기준으로 세워야 한다. 3341

아직 공개되지 않은 핵심 정보

실제 악용과 기술적 심각성은 확인됐지만, 운영 측면의 핵심 정보는 여전히 공개적으로 알려지지 않았다. 시스코의 공개 자료와 당시 보도는 공격 주체, 피해 조직 수, 악용 시작 시점, 사용 도구, 침해 이후 공격자의 행위를 확정하지 않는다. 115

공개 이후 스캐닝 증가 보도는 조치 속도를 높여야 할 또 하나의 이유로 볼 수 있다. 하지만 제공된 근거만으로 스캐닝 규모를 신뢰성 있게 추정하거나 특정 공격자에게 귀속할 수는 없다. 분명한 결론은 하나다. 우회책이 없고 실제 악용 중이며, 신원·접근 통제 인프라에서 인증 없이 공격 가능한 최고 심각도 취약점은 즉시 패치해야 한다. 노출 가능성이나 의심 활동이 있었다면 침해 조사도 병행해야 한다. 1348