TECHNOLOGY

SonicWall SMA 1000 취약점 실제 악용 중, 핫픽스 뒤 침해 흔적까지 확인하세요

2026.07.15 IT 브리핑

언어별 브리핑

기업 서버실에서 관리자가 원격접속 보안 장비와 로그를 함께 점검하는 장면 — 원격접속 장비의 버전과 로그를 실제 운영 현장에서 함께 확인하는 행동을 담은 ONEPRESS 기술·공공안전 이미지입니다.

확인 시각: 2026-07-15 20:11 KST
확인 근거: SonicWall 7월 14일 제품 공지·PSIRT 권고와 같은 날 갱신된 CISA KEV 목록

무엇이 달라졌나

SonicWall은 7월 14일 SMA 1000 Series의 CVE-2026-15409와 CVE-2026-15410이 실제 공격에 악용되고 있다고 확인했습니다. 첫 취약점은 서버 측 요청 위조(SSRF)로 CVSS 10.0, 두 번째는 특정 조건에서 관리자 권한을 가진 공격자가 운영체제 명령을 실행할 수 있는 코드 주입 문제로 CVSS 7.2입니다. CISA도 두 항목을 실제 악용 취약점 목록(KEV)에 추가했습니다.

이번 공지는 단순히 “업데이트가 나왔다”는 수준이 아닙니다. 제조사는 영향을 받는 장비에 최신 핫픽스를 설치한 뒤 침해지표(IoC)를 찾는 포렌식 점검을 수행하라고 요구합니다. 흔적이 확인되면 물리 장비는 재이미징하고 가상 장비는 재배포한 다음, 사용자·관리자 비밀번호와 TOTP 토큰을 다시 설정해야 합니다.

패치 완료와 사고 종료는 같은 말이 아닙니다. 이미 악용 중인 인터넷 경계 장비이므로 버전 확인, 증거 보존, 로그·설정 점검, 필요 시 재구축과 자격증명 초기화까지 하나의 작업으로 묶어야 합니다.

영향받는 제품과 버전

제품: SMA 1000 Series의 6210, 7210, 8200v 및 CMS이며, 가상 장비는 모든 하이퍼바이저가 포함됩니다.
영향받는 12.4.3 빌드: 12.4.3-03245, 12.4.3-03387, 12.4.3-03434.
영향받는 12.5.0 빌드: 12.5.0-02283, 12.5.0-02624, 12.5.0-02800.
수정된 기준: 12.4.3-03453 이상 또는 12.5.0-02835 이상. “12.4.3”이나 “12.5.0”만 보고 판단하지 말고 전체 핫픽스 빌드를 확인해야 합니다.
구분: 이 공지는 SMA 1000 제품군에 관한 것입니다. SonicWall 방화벽 전체나 SMA 100 Series가 모두 같은 취약점의 영향을 받는다는 뜻은 아닙니다. 장비 모델과 전체 빌드 번호를 먼저 확정하세요.

오늘 진행할 7단계

자산·노출·책임자를 한 장에 정리: 물리·가상 SMA 1000과 CMS별 모델, 전체 핫픽스 빌드, 인터넷 노출 주소, 관리 주체, 유지보수 업체, 백업 위치를 목록화합니다.
AMC/CMC에서 전체 핫픽스 버전 확인: AMC는 System Configuration → Maintenance의 hotfixes 링크, CMC는 Maintain → Maintain Server의 hotfixes 링크에서 플랫폼·클라이언트 핫픽스를 확인합니다. 화면 캡처나 작업 기록으로 근거를 남깁니다.
최신 핫픽스 적용: MySonicWall에서 해당 계열의 최신 릴리스를 받아 변경 승인, 서비스 우회·중단 계획, 백업과 복구 경로를 확인한 뒤 적용합니다. 수정 기준에 겨우 맞추는 것보다 제조사가 제공하는 최신 핫픽스를 우선합니다.
로그와 설정을 먼저 보존: 업데이트나 재부팅 전에 extraweb_access.log, ctrl-service.log, 감사 로그, 인증 로그, 현재 설정과 해시·시간 정보를 보존합니다. 외부 로그 서버가 있다면 해당 기간의 수집 누락도 확인합니다.
공식 침해지표 점검: extraweb_access.log에서 /_api_/login 또는 /__api__/logout 요청의 HTTP 200 응답, 의심스러운 host 매개변수를 포함한 /wsproxy 요청의 HTTP 101 응답을 찾습니다. ctrl-service.log의 “hotfix removal”과 경로 순회 이름, /var/lib/unit/conf.json의 /__api__/login·/__api__/logout 라우트도 확인합니다.
흔적이 있으면 사고대응으로 전환: 물리 장비는 제조사 절차로 재이미징하고 가상 장비는 신뢰할 수 있는 원본에서 재배포합니다. 이어 사용자·관리자 비밀번호를 변경하고 TOTP 토큰을 초기화합니다. 장비 뒤 내부 시스템의 비정상 로그인·세션·권한 변경도 조사합니다.
복구 뒤 실제 접속 경로 검증: 원격 사용자 로그인, MFA/TOTP, 승인된 애플리케이션 접근, 로그아웃, 관리자 접속, 로그 전송을 테스트합니다. 장비별 버전·완료시각·담당자·IoC 결과·재구축 여부·자격증명 조치까지 기록합니다.

백업을 그대로 복원하면 안 되는 이유

SonicWall은 침해지표가 있는 경우, 12.4.3-03245 또는 12.5.0-02283의 12월 핫픽스를 설치하기 전 시점의 구성 백업만 사용하라고 안내합니다.
그 이전 백업이 없다면 현재 구성이 조작되지 않았는지 면밀히 감사해야 합니다. 감염 가능성이 있는 설정을 새 장비에 그대로 복원하면 재구축의 의미가 사라질 수 있습니다.
재이미징은 장비 초기화 작업이므로 연속성 계획이 필요합니다. 고가용성 쌍, 인증 연동, 인증서, 라우팅, 정책, 라이선스, 복구 콘솔 접근을 먼저 확인하고 순서를 정하세요.

사용자와 경영진이 확인할 질문

사용자: 조직의 원격접속 안내가 변경됐는지 공식 헬프데스크에서 확인하세요. 갑작스러운 MFA 재등록이나 비밀번호 변경 링크는 메일·문자에서 바로 누르지 말고 공식 포털로 직접 이동합니다.
관리 책임자: “자동 업데이트가 켜져 있다”가 아니라 영향 장비 수, 실제 빌드, 핫픽스 완료율, IoC 점검 결과, 재이미징 대상, 비밀번호·TOTP 초기화 범위를 보고받아야 합니다.
서비스 제공업체: 고객별 장비와 테넌트 범위를 분리하고, 버전과 증거 보존·점검 결과를 고객에게 제공해야 합니다. 공통 관리자 계정이나 공유된 TOTP 운영이 있었다면 영향 범위를 더 넓게 봅니다.

과장 없이 읽을 기준

실제 악용 확인은 모든 SMA 1000이 침해됐다는 뜻이 아닙니다. 장비별 로그와 설정 근거가 필요합니다.
반대로 핫픽스 설치만으로 과거 침해가 없었다고 결론낼 수도 없습니다. 제조사가 포렌식과 IoC 점검을 함께 요구한 이유입니다.
CISA의 7월 17일 조치 기한은 미국 연방 민간기관에 적용되는 운영 기준입니다. 한국이나 다른 국가의 모든 조직에 같은 법적 기한이 생긴 것은 아니지만, 실제 악용 중인 경계 장비의 우선순위를 판단하는 강한 신호입니다.
공격 세부나 특정 피해 조직은 공식 공지에 공개되지 않았습니다. 확인되지 않은 침해 규모나 공격자 attribution을 단정하지 않습니다.

공식·1차 출처

오늘의 판단: SMA 1000을 운영한다면 오늘 모델과 전체 핫픽스 빌드를 확정하고 최신 핫픽스를 적용하세요. 작업은 IoC 점검과 증거 보존까지 포함해야 하며, 흔적이 있으면 재이미징·재배포와 비밀번호·TOTP 초기화로 사고대응을 확대해야 합니다.