오늘의 핵심
SonicOS SSL VPN에서 SAML 기반 다중인증을 우회할 수 있는 CVE-2026-19868의 실제 악용이 확인됐다. 해당 장비를 사용하는 기업은 펌웨어를 업데이트하고, VPN 인증 경로와 접속 기록을 함께 점검해야 한다.
확인된 사실
왜 중요한가
SSL VPN은 운영망과 내부 시스템으로 연결되는 경계 장비이므로 인증 통제 우회가 서비스 운영 전반의 침해로 이어질 수 있다.
MFA를 적용했더라도 대체 인증 경로가 남아 있으면 기대한 방어 효과가 사라질 수 있어 설정과 인증 흐름을 함께 검증해야 한다.
이미 악용이 확인된 취약점이므로 정기 점검 일정까지 기다리기보다 노출 장비를 우선 식별해야 한다.
inxight의 관점
이번 이슈는 MFA 도입 여부보다 모든 인증 경로에 MFA 정책이 일관되게 적용되는지가 중요하다는 점을 보여준다.
패치만으로 대응을 끝내지 말고 VPN 로그와 SAML IdP 기록을 대조해 정상적인 SAML 절차 없이 생성된 세션이 있었는지 확인해야 한다.
외부 접속 장비의 펌웨어와 인증 설정을 서비스 운영 자산 목록에 포함하고, 보안 공지 발생 시 담당자가 즉시 식별할 수 있어야 한다.
실무 체크리스트
- SonicOS SSL VPN 사용 여부와 장비 세대, 펌웨어 버전, SAML 활성화 상태를 즉시 확인한다.
- 영향 장비를 Gen7 7.3.4-7013 또는 Gen8 8.2.3-8015 이상으로 업데이트하고 정상 동작을 검증한다.
- 사용하지 않는 로컬·LDAP 등 대체 인증 방식을 비활성화하거나 접근 범위를 최소화한다.
- VPN 접속 기록과 IdP 인증 기록을 대조해 SAML·MFA 과정이 확인되지 않는 세션과 비정상 접속을 조사한다.
- 업데이트 후 기존 VPN 세션을 종료하고 노출 가능성이 있는 계정의 자격 증명을 재설정한다.