오늘의 핵심
SonicOS 기반 소닉월 방화벽의 SSL-VPN에서 SAML과 다중인증을 우회할 수 있는 CVE-2026-19868의 실제 악용이 확인됐다. 해당 장비를 운영하는 기업은 펌웨어와 우회 인증 경로, 접속 기록을 함께 점검해야 한다.
확인된 사실
같은 보안 업데이트에는 관리 인터페이스의 무인증 원격 조작 가능성, 서비스 거부 및 취약한 암호 해싱과 관련된 취약점도 포함됐다.
근거 [2]
왜 중요한가
SSL-VPN은 원격근무자와 협력사가 내부 업무 시스템에 진입하는 경계이므로 인증 우회가 계정 탈취 이후의 내부망 접근으로 이어질 수 있다.
SAML 다중인증을 적용했더라도 로컬·LDAP·RADIUS·TACACS+ 같은 별도 인증 경로가 남아 있으면 통제 효과가 약해질 수 있다.
방화벽 업데이트 과정에서 서비스 중단이 발생할 수 있어 운영·개발·보안팀이 긴급 변경 일정을 함께 조율해야 한다.
inxight의 관점
이번 사안은 다중인증 도입 여부보다 실제 로그인 경로 전체가 같은 정책을 강제하는지가 중요하다는 사례다.
외부 노출 장비는 CVSS 점수만으로 우선순위를 정하지 말고 실제 악용 여부, 인터넷 노출, 인증 우회 가능성을 함께 평가해야 한다.
패치 완료 보고만으로 대응을 끝내지 말고 VPN 세션과 IdP 인증 기록을 대조해 우회 접속 흔적을 확인해야 한다.
실무 체크리스트
- 자산 목록과 외부 공격 표면을 조회해 영향받는 SonicOS Gen7·Gen8 장비 및 SAML 기반 SSL-VPN 사용 여부를 확인한다.
- 변경 절차와 복구 계획을 마련한 뒤 Gen7은 7.3.4-7013, Gen8은 8.2.3-8015 이상으로 업데이트한다.
- 사용하지 않는 로컬·LDAP·RADIUS·TACACS+ 인증 서버와 휴면 VPN 계정을 비활성화하고, 유지해야 하는 비-SAML 계정의 비밀번호를 교체한다.
- VPN 로그인 기록을 IdP의 SAML 인증 기록과 대조해 대응하는 다중인증 이벤트가 없는 세션을 조사한다.
- 관리 인터페이스의 인터넷 노출을 차단하거나 신뢰된 관리망으로 제한하고 업데이트 후 설정과 접속 정책을 재검증한다.