핵심 POINT
소닉월(SonicWall)은 2026년 11월 6일 SonicOS 보안 공지(SNWLID-2026-0014)를 게시하고, SSL-VPN에서 SAML 인증과 다중인증(MFA)을 우회할 수 있는 취약점의 악용 가능성을 조사했다고 밝혔습니다. KISA는 11월 9일 같은 내용으로 보안 업데이트를 권고했습니다.
이 취약점은 SSL-VPN 로그인에 SAML을 켜 둔 환경에만 영향을 줍니다. 영향 버전은 Gen7 7.3.3-7015 이하, Gen8 8.2.2-8015 이하이고, 해결 버전은 각각 7.3.4-7013 이상, 8.2.3-8015 이상입니다.
당장 업데이트가 어렵다면 LDAP, RADIUS, TACACS+ 인증 서버를 비활성화하거나 삭제하는 임시 조치가 있습니다. 같은 공지에는 관리 인터페이스 취약점(CVSS 8.8)을 포함해 다른 취약점 6건도 담겨 있어 함께 업데이트하는 것이 좋습니다.
소닉월 SSL-VPN 다중인증 우회 취약점, SAML 로그인 쓴다면 확인해야 할 3가지
재택근무와 외부 협력사 접속이 늘면서 VPN은 회사 내부망으로 들어가는 가장 중요한 출입구가 됐습니다. 그래서 많은 기업이 VPN 로그인에 비밀번호만 쓰지 않고, 회사의 통합 로그인(SSO)과 다중인증(MFA)을 함께 붙여 둡니다. 이 출입구의 인증 단계에 빈틈이 생기면 비밀번호가 유출된 계정 하나가 곧바로 내부망 진입으로 이어질 수 있습니다.
소닉월(SonicWall)은 2026년 11월 6일 SonicOS 보안 공지(SNWLID-2026-0014)를 게시하고, SSL-VPN에서 SAML 인증 통제를 우회할 수 있는 취약점(CVE-2026-19868)을 알렸습니다. 소닉월 PSIRT가 이 취약점의 악용 가능성을 시사하는 신고를 조사했다고 밝혔고, KISA 보호나라도 11월 9일 보안 업데이트 권고를 게시했습니다. 이번 글에서는 두 공지를 바탕으로 영향 버전과 해결 버전, SAML 로그인을 쓰는 기업이 확인해야 할 3가지, 업데이트 전 임시 조치와 로그 점검 방법을 차례대로 정리합니다.
■ 소닉월이 공개한 SSL-VPN 인증 우회 취약점의 내용
출처: AI(ChatGPT) 생성 이미지
소닉월 PSIRT 공지는 SonicOS의 취약점 7건을 하나로 묶어 2026년 11월 6일 처음 게시했고, 11월 9일에 이번 글의 핵심인 CVE-2026-19868의 임시 조치 항목을 고쳐 다시 올렸습니다. 이 취약점은 SSL-VPN 서비스의 인증 강제(authentication enforcement) 결함입니다. 공지는 다른 인증 방식의 유효한 자격 증명을 가진 사용자가 SAML 인증 통제를 우회할 수 있고, 성공하면 SAML이 강제하던 다중인증(MFA)까지 우회될 수 있다고 설명했습니다.
SAML은 회사의 통합 로그인 시스템이 먼저 사용자를 확인한 뒤 그 결과를 VPN 장비에 넘겨 접속을 허용하는 방식입니다. 이 단계에서 MFA를 요구하도록 설정한 기업이 많은데, 이번 취약점은 바로 그 통제를 건너뛸 수 있다는 점이 문제입니다. 공지는 이 취약점이 SSL-VPN 로그인에 SAML이 켜져 있을 때만 영향을 준다고 적었습니다.
공격 조건도 함께 봐야 합니다. 공지의 CVSS 벡터(CVSS 7.1)는 공격 복잡도가 높고 낮은 수준의 권한이 필요하다고 표시했습니다. 공격자가 어떤 경로로 대체 인증 수단의 유효한 계정 정보를 얻는지는 공지에 적혀 있지 않습니다. 다만 비밀번호가 유출됐거나 피싱으로 탈취된 계정이 있다면, MFA가 마지막 방어선 역할을 하지 못하게 될 수 있다는 의미로 읽을 수 있습니다.
소닉월은 이 취약점의 악용 가능성을 시사하는 신고를 조사했다며, 가능한 한 빨리 최신 릴리스로 업그레이드하라고 강하게 권고했습니다. 미국 CISA도 11월 6일 이 취약점을 악용이 확인된 취약점 목록(KEV)에 추가하고 연방 민간행정기관(FCEB)의 조치 기한을 11월 20일로 정했습니다. KISA 권고에는 국내 피해 사례가 언급돼 있지 않지만, 소닉월 장비를 원격접속 용도로 운영하는 기업이라면 영향 여부부터 확인하는 것이 좋습니다.
■ 영향받는 소닉월 제품과 해결 버전
출처: AI(ChatGPT) 생성 이미지
KISA 권고와 소닉월 공지가 밝힌 영향 플랫폼은 SonicOS 7 계열(Gen7)과 8 계열(Gen8)의 방화벽입니다. 하드웨어 장비뿐 아니라 ESX, KVM, Hyper-V, AWS, Azure에서 돌아가는 가상 방화벽(NSv)도 포함됩니다.
| 구분 | 영향받는 제품 | 영향받는 버전 | 해결 버전 |
|---|---|---|---|
| SonicOS Gen7 | TZ 270부터 670, NSa 2700부터 6700, NSsp 10700부터 15700, NSv 270·470·870 | 7.3.3-7015 이하 | 7.3.4-7013 이상 |
| SonicOS Gen8 | TZ 80부터 680, NSa 2800부터 5800, NSv XS·S·M·L | 8.2.2-8015 이하 | 8.2.3-8015 이상 |
소닉월 PSIRT 공지(2026년 11월 9일 갱신)와 KISA 보호나라 권고(2026년 11월 9일) 기준입니다. 정확한 모델별 목록은 소닉월 공지 원문에서 확인합니다.
이 공지의 영향 목록에는 Gen7과 Gen8만 적혀 있습니다. Gen6 방화벽이나 SMA 계열 원격접속 장비는 이번 공지의 영향 목록에 없으므로, 해당 장비를 쓰고 있다면 소닉월이 별도로 게시한 공지를 따로 확인해야 합니다.
■ 우리 방화벽이 대상인지 확인해야 할 3가지
출처: AI(ChatGPT) 생성 이미지
앞의 두 가지가 모두 해당하면 이번 취약점의 영향 대상입니다. 세 번째는 우회 경로가 될 수 있는 설정이 남아 있는지 가늠하는 점검입니다. 영향 대상이 아니더라도 같은 공지에 담긴 다른 취약점은 별개로 업데이트 여부를 따져야 합니다.
1. 장비 세대와 펌웨어 버전
방화벽 관리 화면에서 현재 펌웨어 버전을 확인하고 위 표와 비교합니다. Gen7은 7.3.3-7015 이하, Gen8은 8.2.2-8015 이하라면 영향 버전입니다. 여러 지점에 장비를 나눠 운영한다면 장비마다 버전이 다를 수 있으므로 자산 목록의 장비를 하나씩 확인합니다.
2. SSL-VPN 로그인에 SAML을 쓰는지 여부
소닉월 공지는 SSL-VPN 로그인에 SAML이 켜져 있을 때만 영향을 준다고 적었습니다. 방화벽 관리 설정에서 SSL-VPN에 적용된 인증 방식과 SAML 연동 여부를 직접 확인합니다. VPN 접속 시 회사의 통합 로그인 화면으로 이동하는지도 참고할 수 있지만, 화면만으로 실제 인증 구성을 확정할 수는 없으므로 관리자 설정을 기준으로 판단해야 합니다.
3. 대체 인증 서버가 켜져 있는지 여부
공지의 임시 조치는 LDAP, RADIUS, TACACS+ 인증 서버를 비활성화하거나 삭제하라는 내용입니다. 이 점을 볼 때, 방화벽에 이 서버들이 켜진 채 남아 있으면 SAML을 건너뛰는 대체 인증 경로가 될 수 있는 것으로 보입니다. 아래 메뉴에서 활성화된 서버가 있는지 확인합니다.
• LDAP. Device, Users, Settings, Authentication, Configure LDAP, Settings, LDAP Servers
• RADIUS. Device, Users, Settings, Authentication, Configure RADIUS, Settings, RADIUS Servers
• TACACS+. Device, Users, Settings, Authentication, Configure TACACS+, Settings, TACACS+ Servers
과거에 사용자 인증용으로 붙였다가 지금은 쓰지 않는 서버가 그대로 남아 있는 경우가 많습니다. 쓰지 않는 인증 서버는 이번 업데이트와 별개로 정리하는 편이 안전합니다.
■ 업데이트가 어려울 때 소닉월이 제시한 임시 조치
소닉월은 SAML 인증을 쓰고 있는데 펌웨어 업그레이드가 어려운 경우에 한해, 방화벽에 설정된 LDAP, RADIUS, TACACS+ 인증 서버를 모두 비활성화하거나 삭제하라고 적었습니다. 11월 9일 개정에서 이 항목이 갱신됐으므로, 11월 6일 공지만 보고 조치했다면 현재 내용을 다시 확인하는 것이 좋습니다.
이 조치를 적용하기 전에 몇 가지를 점검해야 합니다. 같은 인증 서버를 SSL-VPN 외에 방화벽 관리자 로그인이나 다른 서비스 인증에도 쓰고 있다면, 서버를 끄는 순간 해당 로그인이 막힐 수 있습니다. 공지에는 이런 영향이 적혀 있지 않으므로 운영 환경에서 영향 범위를 먼저 확인하고, 점검 시간에 맞춰 적용하는 것이 안전합니다.
임시 조치는 어디까지나 대안입니다. 이 조치는 CVE-2026-19868에 한정된 완화책입니다. 소닉월은 최신 릴리스로 업그레이드하는 것을 우선 권고했고, 업데이트 후에는 임시 조치의 유지 여부를 검토하되 사용하지 않는 인증 서버는 다시 활성화하지 않고 인증 정책을 재점검하는 것이 좋습니다.
■ VPN 접속 기록에서 우회 시도 흔적을 확인하는 방법
업데이트를 적용하기 전까지 영향 버전을 쓴 기간이 있었다면 접속 기록을 먼저 살펴볼 필요가 있습니다. 아래는 소닉월 공지가 침해지표로 제시한 항목이 아니라, 인증 우회 취약점에서 일반적으로 확인하는 점검 예시입니다. 로그에 표시되는 항목은 펌웨어와 설정에 따라 달라질 수 있습니다.
• 인증 방식. SSL-VPN 로그인 기록에서 SAML이 아닌 LDAP, RADIUS 같은 다른 방식으로 접속에 성공한 건이 있는지 봅니다. SAML만 쓰도록 구성했다면 평소에 없던 기록입니다.
• 접속 위치와 시간. 평소 쓰지 않는 국가나 IP 주소, 새벽 시간, 휴직·퇴직 계정의 접속이 있는지 확인합니다.
• 접속 직후의 내부 활동. VPN으로 들어온 뒤 관리 서버, 파일 서버, 인증 서버 같은 내부 자원으로 평소보다 많은 접근이 있었는지 확인합니다.
• 계정 정보 유출 여부. 이상한 접속이 보이는 계정은 비밀번호를 바꾸고 이미 열린 접속 세션을 종료합니다.
의심스러운 기록이 나오면 장비 로그를 바로 지우거나 초기화하지 말고 보존한 채 침해사고로 보고 대응해야 합니다. 장비 안에만 있는 로그는 보관 기간이 짧을 수 있으므로 별도 로그 서버로 수집된 기록이 있는지도 함께 확인합니다.
■ 같은 공지에 담긴 SonicOS 취약점 7건
이번 공지는 SSL-VPN 인증 우회 하나만 다루지 않습니다. 소닉월은 SonicOS 취약점 7건을 한 번에 묶어 공개했고 해결 버전도 같습니다. 즉 업데이트 한 번으로 아래 항목이 함께 해결됩니다.
| CVE 번호 | 유형 | CVSS |
|---|---|---|
| CVE-2026-107155 | 관리 인터페이스의 허용 범위가 넓은 교차 도메인 정책 | 8.8 |
| CVE-2026-107154 | 관리 인터페이스의 세션 검증 취약점 | 8.8 |
| CVE-2026-82308 | SSL-VPN 사전 인증 힙 버퍼 오버플로(서비스 거부) | 7.5 |
| CVE-2026-19868 | SSL-VPN 인증 강제 취약점(SAML·MFA 우회) | 7.1 |
| CVE-2026-77708 | TACACS+ 클라이언트 사전 인증 스택 버퍼 오버플로(서비스 거부) | 5.9 |
| CVE-2026-77709 | TACACS+ 클라이언트 사전 인증 힙 버퍼 오버플로(서비스 거부) | 5.9 |
| CVE-2026-19703 | 가상 어플라이언스의 자격증명 보호 취약점(약한 비밀번호 해시, 로컬 접근 필요) | 5.2 |
소닉월 PSIRT 공지(SNWLID-2026-0014) 기준입니다. 이 가운데 악용 가능성이 언급된 항목은 CVE-2026-19868입니다.
관리 인터페이스 취약점 2건은 CVSS 8.8로 이 공지에서 점수가 가장 높습니다. 공지에 따르면 특정 조건에서 인증 없는 공격자가 무단 작업을 할 수 있는 취약점이며, 공격에 사용자의 동작이 필요한 것으로 표시돼 있습니다. 이번 권고에서 악용이 언급된 것은 SSL-VPN 건이지만, 업데이트 우선순위를 정할 때 나머지 항목도 함께 고려해야 합니다.
■ 기업이 함께 점검할 원격접속 인증 구조
이번 취약점은 장비 하나의 결함이지만, 기업이 점검할 범위는 소닉월 장비에 그치지 않습니다. 원격접속 인증 구조 전반에서 아래 내용을 살펴봅니다.
• 원격접속 장비 자산 목록. 본사와 지점, 협력사 접속용으로 운영 중인 VPN과 방화벽의 제품, 세대, 펌웨어 버전을 한 목록으로 관리합니다.
• 대체 인증 경로의 정리. SAML을 쓰는 환경에서 LDAP, RADIUS, TACACS+ 같은 다른 인증 수단이 함께 열려 있는지, 꼭 필요한 것인지 확인합니다. 인증 수단이 많을수록 가장 약한 경로가 전체 보안 수준을 정하게 됩니다.
• MFA 이후의 통제. MFA가 뚫리더라도 VPN으로 들어온 계정이 모든 내부 자원에 접근하지 못하도록 접근 범위를 나누고, 접속 직후의 이상 행위를 모니터링합니다.
• 관리 인터페이스의 노출. 방화벽 관리 화면이 인터넷에서 직접 접속되는지 확인하고, 관리 목적의 접속은 허용된 주소로 제한합니다.
• 보안 공지 확인 체계. 제조사 보안 공지와 KISA 보호나라 권고를 누가 언제 확인하고, 업데이트 일정을 어떻게 정하는지 절차로 만들어 둡니다.
SK쉴더스는 취약점 진단과 모의해킹으로 VPN과 원격접속 환경의 인증 구성과 관리 기능 노출을 점검하고, 보안관제와 침해사고 대응 서비스로 이상 접속 탐지와 사고 분석을 지원하고 있습니다.
■ 자주 묻는 질문
Q. SAML을 쓰지 않으면 이번 취약점의 영향이 없나요?
A. 소닉월 공지는 CVE-2026-19868이 SSL-VPN 로그인에 SAML이 켜져 있을 때만 영향을 준다고 적었습니다. 다만 같은 공지에 담긴 다른 취약점 6건은 SAML 사용 여부와 별개이므로, 영향 버전이라면 업데이트 여부를 따로 판단해야 합니다.
Q. 다중인증(MFA)을 쓰고 있으면 안전한 것 아닌가요?
A. 공지는 이번 취약점이 SAML이 강제하는 MFA까지 우회할 수 있다고 설명했습니다. 다만 공지의 CVSS 벡터는 공격 복잡도가 높고 낮은 수준의 권한이 필요하다고 표시했으므로, 공격자에게 대체 인증 수단의 유효한 계정 정보가 있어야 하는 조건으로 볼 수 있습니다.
Q. Gen6 방화벽이나 SMA 장비도 영향을 받나요?
A. 이번 공지의 영향 목록에는 Gen7과 Gen8 방화벽만 적혀 있습니다. 다른 세대나 SMA 제품은 소닉월이 별도로 게시한 보안 공지를 확인해야 합니다.
Q. 실제 공격이 있었나요?
A. 소닉월 PSIRT는 이 취약점의 악용 가능성을 시사하는 신고를 조사했다고 밝혔고, CISA는 2026년 11월 6일 악용이 확인된 취약점 목록에 추가했습니다. KISA 권고에는 국내 피해 사례가 언급돼 있지 않습니다.
Q. 업데이트 대신 임시 조치만 해도 되나요?
A. 소닉월은 펌웨어 업그레이드가 불가능한 경우의 대안으로 인증 서버 비활성화를 제시했습니다. 최신 릴리스로 업그레이드하는 것이 우선 권고이므로, 임시 조치는 업그레이드 전까지 쓰는 방법으로 보는 것이 좋습니다.
[콘텐츠 출처]
KISA 보호나라, SonicWall 제품 보안 업데이트 권고 (2026.11.09)
CISA, Known Exploited Vulnerabilities Catalog, CVE-2026-19868 (2026.11.06 추가)
