CVE-2026-83548·83549 SonicWall SMA1000 취약점 — 사전 인증 SSRF와 OS 명령 주입 대응

SonicWall SMA1000에서 두 취약점이 공개됐다

SonicWall은 2026년 9월 1일 Secure Mobile Access 1000 Series에서 두 개의 보안 취약점을 공개했습니다.

이번 권고에는 다음 두 취약점이 포함됩니다.

CVE	취약점	CVSS	공격 조건
CVE-2026-83548	사전 인증 SSRF	10.0 Critical	인증 불필요
CVE-2026-83549	OS Command Injection / RCE	7.8 High	관리자 인증 필요

CVE-2026-83548은 SMA1000의 Work Place 인터페이스에서, CVE-2026-83549는 Appliance Management Console(AMC)에서 발생합니다.

핵심은 취약점이 공개됐다는 사실에만 있지 않습니다.

SonicWall은 권고문에서 두 취약점이 실제 환경에서 활발히 악용되고 있음을 확인했다고 명시했습니다.
2026년 9월 2일에는 미국 CISA도 CVE-2026-83548과 CVE-2026-83549를 Known Exploited Vulnerabilities, 즉 KEV 카탈로그에 추가했습니다. (SonicWall)

영향을 받는 SMA1000을 운영 중이라면 이를 단순 정기 패치 대상이 아니라 긴급 대응 대상으로 봐야 합니다.

CVE-2026-83548은 어떤 취약점인가

CVE-2026-83548은 SonicWall SMA1000 Appliance의 Work Place 인터페이스에서 발생하는 사전 인증 Server-Side Request Forgery, SSRF 취약점입니다.

SonicWall에 따르면 의도하지 않은 대체 접근 경로가 존재하며 원격의 인증되지 않은 공격자가 이를 악용해 민감한 기능에 무단 접근하거나 허가되지 않은 작업을 수행할 가능성이 있습니다.

취약점 유형은 다음과 같습니다.

CVE: CVE-2026-83548
제품: SonicWall SMA1000
구성요소: Appliance Work Place
유형: Server-Side Request Forgery
CWE-918: Server-Side Request Forgery
CWE-441: Unintended Proxy or Intermediary
CVSS: 10.0 Critical

CVSS 3.1 벡터는 다음과 같습니다.

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

운영 환경 관점에서 각 항목을 풀어보면 다음과 같습니다.

항목	의미
AV:N	네트워크를 통한 공격 가능
AC:L	특별히 복잡한 조건이 필요하지 않음
PR:N	사전 인증 불필요
UI:N	사용자 상호작용 불필요
S:C	보안 영향 범위가 다른 구성요소까지 변경 가능
C:H	기밀성 영향 높음
I:H	무결성 영향 높음
A:H	가용성 영향 높음

인터넷에서 SMA1000 Work Place 인터페이스에 접근할 수 있는 환경이라면 공격자가 정상 사용자 계정 없이 접근을 시도할 수 있다는 점이 가장 위험합니다. (GitHub)

SSRF가 왜 위험한가

SSRF는 공격자가 직접 접근할 수 없는 내부 자원으로 서버가 대신 요청을 보내게 만드는 취약점입니다.

일반적인 구조는 다음처럼 이해할 수 있습니다.

외부 공격자
↓
인터넷에 노출된 SMA1000
↓
취약한 요청 처리
↓
SMA1000이 내부 요청을 대신 수행
↓
원래 외부에서 접근할 수 없는 기능에 접근 가능

공격자의 PC가 내부 시스템에 직접 연결하는 것이 아니라 신뢰받는 SMA1000 장비 자체가 요청의 출발점이 될 수 있다는 점이 문제입니다.

일반적인 외부 방화벽 정책만으로 모든 공격 경로가 차단된다고 가정해서는 안 됩니다.

CVE-2026-83548은 특히 인증 이전 단계에서 악용할 수 있으므로, 외부에 노출된 취약 버전은 우선순위를 높여야 합니다.

CVE-2026-83549는 어떤 취약점인가

CVE-2026-83549는 SMA1000의 Appliance Management Console, AMC에서 발생하는 OS Command Injection 취약점입니다.

CWE 분류는 다음과 같습니다.

CVE: CVE-2026-83549
제품: SonicWall SMA1000
구성요소: Appliance Management Console
유형: OS Command Injection
CWE-78
CVSS: 7.8 High

SonicWall에 따르면 특정 조건에서 관리자로 인증된 원격 공격자가 임의의 운영체제 명령을 실행할 수 있으며 결과적으로 Remote Code Execution으로 이어질 수 있습니다. (OpenCVE)

CVSS 점수만 보고 CVE-2026-83548보다 중요하지 않다고 판단해서는 안 됩니다.

이 취약점은 관리자 인증이 필요합니다. 다만 공격자가 이미 관리자 계정이나 세션을 확보했다면 후속 공격에 활용될 수 있습니다.

SMA1000 관리자 권한 확보
↓
취약한 AMC 기능 접근
↓
OS Command Injection
↓
운영체제 명령 실행
↓
SMA1000 장비 자체에 대한 영향 확대

두 취약점은 공격 관점에서도 함께 봐야 한다

두 CVE의 공격 조건은 서로 다릅니다.

CVE-2026-83548:

사전 인증
+
원격 접근
+
SSRF

CVE-2026-83549:

관리자 인증 후
+
AMC 접근
+
OS Command Injection
+
RCE 가능

공개된 SonicWall 자료만으로 두 취약점이 실제 공격에서 반드시 하나의 공격 체인으로 결합됐다고 단정할 수는 없습니다.

다만 같은 SMA1000 장비에 인증 이전 공격과 인증 이후 명령 실행 취약점이 함께 존재합니다.
SonicWall도 권고의 취약점들이 실제로 악용되고 있다고 확인한 만큼, 두 CVE를 함께 대응하는 것이 중요합니다. (SonicWall)

실제 악용이 확인된 취약점이다

이번 취약점에서 특히 중요한 부분입니다.

SonicWall 공식 Product Notice에는 다음과 같이 명시되어 있습니다.

CVE-2026-83548
CVE-2026-83549

실제 공격에서 악용 확인

CISA는 2026년 9월 2일 두 취약점을 KEV 카탈로그에 추가했습니다. 연방기관에 설정된 조치 기한은 2026년 9월 5일입니다. 캐나다 Cyber Centre도 별도 권고에서 두 CVE가 CISA KEV에 추가된 사실을 확인했습니다. (Deja Vu)

대응 우선순위는 CVSS만 높은 취약점 하나만을 보는 문제가 아닙니다.

CVSS만 높은 취약점

다음 조건을 함께 고려해 판단하는 것이 좋습니다.

인터넷 노출 가능 장비
+
사전 인증 취약점
+
원격 공격
+
실제 악용 확인
+
CISA KEV 등재

원격접속 보안 장비에서 발생하는 다른 취약점 사례는 CVE-2026-20349 Cisco ASA/FTD SSL VPN DoS 취약점 원인 분석과 패치 방법 글에서도 영향 범위와 패치 대응 방법을 함께 확인할 수 있습니다

영향을 받는 제품

SonicWall이 공식적으로 명시한 영향 대상은 SMA1000 Series입니다.

구체적인 모델은 다음과 같습니다.

SMA 6210
SMA 7210
SMA 8200v

8200v는 모든 지원 Hypervisor 환경이 대상에 포함됩니다. (SonicWall)

이번 권고가 SonicWall의 모든 SSL VPN 제품을 뜻하는 것은 아닙니다.

다른 SonicWall 제품을 운영한다면 CVE 번호만 보고 영향을 받는다고 단정하지 말고 SMA1000 Series인지 먼저 구분해야 합니다.

영향을 받는 버전과 수정 버전

SonicWall이 공개한 platform-hotfix 기준의 영향 및 수정 버전은 다음과 같습니다.

제품 브랜치	영향을 받는 버전	수정 버전
SMA1000 12.4.3	12.4.3-03453 이하	12.4.3-03526
SMA1000 12.5.0	12.5.0-02835 이하	12.5.0-02952

예를 들면 다음과 같습니다.

12.4.3-03453 → 취약
12.4.3-03526 → 수정 버전

그리고:

12.5.0-02835 → 취약
12.5.0-02952 → 수정 버전

SonicWall은 영향을 받는 물리 및 가상 SMA1000 장비 모두를 최신 Hotfix로 업데이트하도록 요구하고 있습니다. (SonicWall)

운영 중인 SMA1000에서 먼저 확인할 것

실제 환경에서는 우선 세 가지를 확인해야 합니다.

1. SMA1000 장비가 존재하는가
2. 현재 platform-hotfix 버전은 무엇인가
3. 인터넷에서 접근 가능한가

자산 관리 시스템에서는 단순히 SonicWall만 검색하지 말고 다음 모델까지 확인합니다.

SMA 6210
SMA 7210
SMA 8200v

가상 장비는 물리 자산 목록에서 누락되기 쉽습니다. VMware, Hyper-V 또는 기타 가상화 환경의 VM Inventory도 함께 확인하는 것이 좋습니다.

외부 노출 여부 확인

SMA1000은 원격 접속을 제공하는 보안 장비이므로 외부에 서비스가 노출됐을 가능성이 높습니다.

먼저 네트워크 구조를 확인합니다.

Internet
↓
Public IP / Firewall
↓
SMA1000
↓
Work Place

다음 항목을 확인합니다.

• Public IP가 직접 연결되어 있는지
• NAT를 통해 SMA1000으로 전달되는지
• Work Place 인터페이스가 외부에서 접근 가능한지
• 관리용 AMC가 외부 네트워크에 노출되어 있는지
• 접근제어 정책이 적용되어 있는지

관리용 인터페이스는 업무상 필요하지 않다면 신뢰할 수 있는 관리 네트워크에서만 접근하도록 제한하는 것이 바람직합니다.

다만 네트워크 접근 제한은 Hotfix 적용을 대신할 수 없습니다.

가장 우선적인 대응은 Hotfix 적용

영향 버전을 사용 중이라면 SonicWall이 제공하는 수정 버전 이상으로 업데이트해야 합니다.

12.4.3 계열
→ 12.4.3-03526 이상

12.5.0 계열
→ 12.5.0-02952 이상

SonicWall은 최신 Hotfix를 MySonicWall을 통해 제공하고 있습니다. (SonicWall)

운영 환경에서는 다음 순서로 진행하면 됩니다.

현재 버전 확인
↓
구성 백업
↓
유지보수 시간 확보
↓
적절한 Hotfix 확보
↓
업데이트
↓
재부팅 및 서비스 상태 확인
↓
최종 버전 재확인
↓
VPN 접속 테스트

업데이트 후에는 관리 화면이 열리는지만 확인하지 말고 실제 원격 사용자의 VPN 연결까지 검증해야 합니다.

패치했다고 바로 대응이 끝나는 것은 아니다

이번 취약점은 이미 실제 공격에서 악용된 것이 확인된 상태입니다.

취약한 SMA1000이 인터넷에 노출돼 있었다면 다음과 같이 구분해 생각하는 것이 안전합니다.

취약점 패치
=
앞으로의 악용 차단

기존 침해 여부 확인
=
별도 작업

업데이트는 앞으로 발생할 공격을 막기 위한 조치입니다. 패치 전에 이미 공격이 성공했는지는 별도로 조사해야 합니다.

SonicWall도 영향을 받는 고객에게 업데이트뿐 아니라 Technical Support와 함께 시스템의 Indicators of Compromise를 검토할 것을 권고하고 있습니다. (SonicWall)

침해 여부 확인이 필요한 환경

다음 조건에 해당한다면 패치 후 침해 여부 점검의 우선순위를 높이는 것이 좋습니다.

취약한 SMA1000 버전 사용
+
인터넷에서 Work Place 접근 가능

또는:

관리 인터페이스가 외부에 노출됨
+
예상하지 못한 관리자 접근 기록 존재

추가로 다음 항목도 확인합니다.

• 예상하지 못한 관리자 로그인
• 알 수 없는 외부 IP 접근
• 설정 변경
• 비정상적인 사용자 계정 변경
• 예상하지 못한 인증 관련 변경
• 갑작스러운 서비스 재시작
• VPN 사용자 인증 이상
• 비정상적인 시스템 동작

현재 공개된 SonicWall Product Notice는 구체적인 공개 IoC 목록을 제공하기보다 SonicWall Technical Support를 통한 시스템 점검을 권장하고 있습니다. (SonicWall)

공개되지 않은 IoC를 임의로 만들어 탐지 규칙에 적용하는 일은 피하는 것이 좋습니다.

IoC가 발견된 경우 SonicWall 권고 사항

SonicWall은 시스템에서 침해 지표가 발견되면 단순 패치보다 강한 조치를 권고합니다.

물리 SMA 장비에서는:

Re-image

가상 SMA 장비에서는:

Re-deploy

를 수행하도록 안내합니다.

그리고 함께 수행해야 할 조치는:

모든 사용자 비밀번호 변경
모든 관리자 비밀번호 변경
TOTP Token 초기화

입니다. (SonicWall)

이 부분이 중요합니다.

침해가 의심되는 시스템에서 관리자 비밀번호 하나만 바꾼 뒤 계속 운영하는 것으로는 충분하지 않을 수 있습니다.

사용자와 관리자 자격 증명도 확인해야 한다

SMA1000은 원격 접속을 처리하는 시스템이므로 침해가 발생했다면 장비 설정 이상의 영향을 고려해야 합니다.

특히 다음 자격 증명을 확인합니다.

SMA 로컬 사용자
관리자 계정
LDAP/AD 연동 계정
VPN 사용자 계정
TOTP 등록 정보
API 또는 시스템 연계 계정

침해 사실이 확인됐다면 어느 자격 증명이 해당 시스템을 통해 노출됐을 가능성이 있는지 범위를 판단해야 합니다.

SonicWall이 모든 사용자와 관리자 비밀번호 변경 및 TOTP 재설정을 권고하는 이유도 이러한 위험을 고려했기 때문입니다. (SonicWall)

CISA KEV 등재의 의미

CISA의 Known Exploited Vulnerabilities Catalog는 단순히 CVSS가 높은 취약점 목록이 아닙니다.

이번 두 취약점은 2026년 9월 2일 다음 항목으로 등록됐습니다.

CVE-2026-83548
SonicWall SMA1000 Appliances
Server-Side Request Forgery

CVE-2026-83549
SonicWall SMA1000 Appliances
OS Command Injection

두 취약점 모두 CISA의 조치 기한은 2026년 9월 5일로 설정됐습니다. 랜섬웨어 캠페인에서 사용됐는지는 현재 Unknown으로 기록돼 있습니다. (CIRCL)

KEV에 포함됐다는 사실은 일반 기업에도 중요한 판단 기준이 될 수 있습니다.

특히 다음 조건이라면 일반적인 월간 패치 주기를 기다리기보다 우선 대응 대상으로 분류하는 것이 적절합니다.

KEV 등재
+
공급사 실제 악용 확인
+
인터넷 경계 보안 장비

CVE-2026-83548과 CVE-2026-83549 대응 우선순위

두 취약점만 비교하면 CVE-2026-83548의 우선순위가 특히 높습니다.

CVE-2026-83548

CVSS 10.0
사전 인증
네트워크 공격
사용자 상호작용 없음
실제 악용 확인
CISA KEV

인터넷에 노출된 취약 SMA1000은 긴급 패치 대상입니다.

CVE-2026-83549

CVSS 7.8
인증 필요
OS Command Injection
RCE 가능
실제 악용 확인
CISA KEV

CVSS만 보면 상대적으로 낮습니다. 실제 악용이 확인됐고 운영체제 명령 실행으로 이어질 수 있으므로 함께 수정해야 합니다.

동일 Hotfix로 두 취약점에 대응할 수 있으므로 어느 하나만 선택적으로 대응할 이유는 없습니다. (SonicWall)

운영자 대응 체크리스트

실무에서는 다음 순서로 확인하면 됩니다.

[ ] SMA1000 장비 보유 여부 확인
[ ] 6210 / 7210 / 8200v 모델 확인
[ ] 현재 platform-hotfix 버전 확인
[ ] 인터넷 노출 여부 확인
[ ] Work Place 외부 접근 여부 확인
[ ] AMC 관리 인터페이스 노출 여부 확인

[ ] 12.4.3 계열은 12.4.3-03526 이상으로 업데이트
[ ] 12.5.0 계열은 12.5.0-02952 이상으로 업데이트

[ ] 업데이트 후 실제 버전 재확인
[ ] VPN 사용자 연결 테스트
[ ] 관리자 접근 기록 확인
[ ] 비정상 설정 변경 여부 확인
[ ] SonicWall Technical Support를 통한 IoC 검토

[ ] 침해 지표 발견 시 Re-image 또는 Re-deploy
[ ] 사용자 비밀번호 변경
[ ] 관리자 비밀번호 변경
[ ] TOTP Token 재설정

정리

CVE-2026-83548과 CVE-2026-83549는 SonicWall SMA1000 Series에 영향을 주는 보안 취약점입니다.

핵심만 정리하면 다음과 같습니다.

CVE-2026-83548
- Pre-authentication SSRF
- Work Place Interface
- CVSS 10.0 Critical
- 인증 불필요

CVE-2026-83549
- OS Command Injection
- Appliance Management Console
- CVSS 7.8 High
- 관리자 인증 필요
- RCE 가능

영향 대상은 SMA 6210, 7210, 8200v이며 수정 버전은 다음과 같습니다.

12.4.3-03526 이상
12.5.0-02952 이상

두 취약점 모두 실제 공격에서 악용된 것이 확인됐고 2026년 9월 2일 CISA KEV에 추가됐습니다. 영향을 받는 SMA1000을 운영 중이라면 버전 확인 → Hotfix 적용 → 외부 노출 확인 → 침해 여부 조사까지를 하나의 대응 작업으로 진행하는 것이 좋습니다. (SonicWall)

참고 자료

• SonicWall — SMA 1000 Series affected by Multiple Vulnerabilities (SNWLID-2026-0016): 영향 모델, 취약 버전, 수정 버전, 실제 악용 및 침해 시 대응 절차를 확인할 수 있는 가장 중요한 공식 자료입니다.
  SonicWall 공식 Product Notice 열기
• SonicWall PSIRT — SNWLID-2026-0016 Security Advisory
  SonicWall PSIRT 보안 권고 열기
• CERT-FR — Multiples vulnérabilités dans SonicWall Secure Mobile Access: 영향 버전과 수정 버전을 독립적으로 교차 확인할 수 있습니다.
  CERT-FR 보안 경보 열기
• Canadian Centre for Cyber Security — SonicWall security advisory AV26-872: 두 취약점의 실제 악용 및 CISA KEV 추가 사실을 확인할 수 있습니다.
  Canadian Cyber Centre 권고 열기