[속보] CISA, PTC·Cisco 취약점 2건 KEV 등재…28일까지 긴급 조치 권고

CISA 공식 KEV 카탈로그에 따르면 미국 사이버보안·인프라보안국은 2026년 6월 25일 PTC Windchill·FlexPLM 취약점 CVE-2026-12569와 Cisco Unified Communications Manager 취약점 CVE-2026-20230을 알려진 악용 취약점 목록에 추가했다. CISA는 두 항목 모두에 대해 벤더 지침에 따른 완화 조치를 적용하고, 2026년 6월 28일까지 위험 기반 보안 업데이트 지침에 맞춰 대응하라고 안내했다.

PTC 항목은 Windchill과 FlexPLM의 부적절한 입력 검증 취약점이다. CISA 설명에 따르면 인증되지 않은 원격 공격자가 악의적인 요청을 네트워크로 보내 임의 코드를 실행할 수 있다. CISA는 해당 항목의 랜섬웨어 캠페인 사용 여부를 Unknown으로 표시했다. 공개 자료 기준으로 실제 공격 세부 방식이나 피해 규모는 확인되지 않았다.

Cisco 항목은 Unified Communications Manager와 Unified Communications Manager Session Management Edition의 서버 측 요청 위조(SSRF) 취약점이다. Cisco 공식 권고는 공격자가 영향을 받는 장비에 조작된 HTTP 요청을 보내고, 성공할 경우 이후 root 권한 상승에 사용될 수 있는 파일을 운영체제에 쓸 수 있다고 설명했다. Cisco는 이 취약점의 CVSS 점수상 등급과 별개로, root 권한 상승 가능성을 이유로 보안 영향 등급을 Critical로 지정했다.

다만 Cisco 취약점은 WebDialer 서비스가 활성화된 경우에 악용될 수 있다. Cisco는 WebDialer가 기본적으로 비활성화돼 있다고 설명했다. 동시에 Cisco는 취약점을 수정한 소프트웨어 업데이트를 공개했으며, 해당 취약점을 해결하는 우회책은 없다고 밝혔다. 운영자는 WebDialer 활성화 여부와 노출 범위를 우선 확인한 뒤 지원 버전과 패치 적용 가능성을 점검해야 한다.

CISA의 KEV 등재는 단순한 취약점 공개보다 긴급도가 높다. KEV는 실제 악용이 확인된 취약점을 모은 목록으로, 미국 연방 민간 행정기관은 CISA 지침에 따라 정해진 기한 안에 조치를 완료해야 한다. 민간 조직에도 직접적인 법적 의무가 적용되는 것은 아니지만, 인터넷에 노출된 협업·통신·제품수명주기관리 시스템은 공격 표면이 넓어 빠른 점검이 필요하다.

이번 두 취약점은 성격은 다르지만 공통적으로 기업 핵심 운영 시스템과 맞닿아 있다. PTC Windchill은 제조·제품 개발 환경의 PLM 업무에 쓰이고, Cisco Unified CM은 조직의 통신 인프라와 연결된다. 패치 적용이 어려운 환경에서는 외부 노출 차단, 접근 제어, 로그 점검, 벤더 권고 기반 완화 조치를 함께 검토해야 한다.

현재 공개된 1차 자료만으로는 공격 주체, 표적 산업, 실제 침해 규모가 확인되지 않았다. 특히 PTC 공식 권고 본문은 접근 제한으로 세부 영향 버전 확인이 추가로 필요하다. 그럼에도 CISA가 두 취약점을 KEV에 등재하고 3일 안팎의 조치 기한을 제시한 만큼, 해당 제품을 쓰는 조직은 자산 보유 여부와 인터넷 노출 여부를 먼저 확인해야 한다.

출처: CISA KEV https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json
출처: Cisco Security Advisory https://www.cisco.com/c/en/us/support/docs/csa/cisco-sa-cucm-ssrf-cXPnHcW.html
출처: PTC Security Advisory https://www.ptc.com/en/support/article/CS473270
출처: NVD CVE-2026-12569 https://nvd.nist.gov/vuln/detail/CVE-2026-12569
출처: NVD CVE-2026-20230 https://nvd.nist.gov/vuln/detail/CVE-2026-20230