MSI 게이밍 공유기서 CVSS 9.8점 치명적 취약점…원격 루트 탈취 위험

네트워크 장비 공급망 보안의 경고등이 켜졌다. MSI의 최신 WiFi 6E 게이밍 공유기에서 인증 없이 원격으로 최고 관리자 권한을 탈취할 수 있는 치명적 취약점이 발견됐다. 해당 장비를 사용하는 가정 및 소규모 기업 네트워크 전체가 위험에 노출된 상황이다.

---

취약점 상세 분석

대만 하드웨어 제조사 MSI의 프리미엄 게이밍 공유기 'Radix AXE6600' 펌웨어 버전 v781521에서 명령어 삽입(Command Injection) 취약점이 확인됐다. CVE-2026-71986으로 등록된 이 취약점은 CVSS(공통취약점등급시스템) 기준 9.8점으로, '치명적(Critical)' 등급에 해당한다.

문제는 공유기의 DMZ(비무장지대) 설정 기능에서 발생했다. DMZ는 외부 인터넷에서 내부 네트워크의 특정 기기로 모든 트래픽을 전달하는 기능으로, 주로 게임 서버나 웹 서버 운영 시 활용된다. 해당 기능의 입력값 검증이 제대로 이뤄지지 않아 공격자가 악성 명령어를 삽입할 수 있는 것으로 드러났다.

더 심각한 점은 공격에 인증이 필요하지 않다는 것이다. 원격의 공격자가 특별히 조작된 요청을 전송하는 것만으로 루트(root) 권한을 획득할 수 있다. 루트 권한 탈취 시 공격자는 네트워크 트래픽 도·감청, 악성코드 유포지로의 악용, 내부 네트워크 침투를 위한 교두보 확보 등이 가능해진다.

반복되는 네트워크 장비 취약점 패턴

이번 사례는 네트워크 장비에서 지속적으로 발견되는 보안 취약점의 전형적 패턴을 보여준다.

첫째, 입력값 검증 미흡이다. 웹 인터페이스나 API에서 사용자 입력을 시스템 명령어로 직접 전달하면서 적절한 필터링을 수행하지 않는 사례가 반복된다. 특수문자 이스케이프 처리, 화이트리스트 기반 검증 등 기본적인 시큐어 코딩 원칙이 지켜지지 않은 것이다.

둘째, 펌웨어 보안 검증 체계의 한계다. 하드웨어 제조사들이 성능과 기능 개발에 집중하면서 보안 테스트가 상대적으로 소홀해지는 경향이 있다. 출시 전 침투 테스트나 코드 보안 감사가 충분히 이뤄지지 않는 구조적 문제가 존재한다.

셋째, 소비자 장비의 보안 사각지대다. 가정용·소규모 사무실용 네트워크 장비는 기업용 장비 대비 보안 모니터링이 어렵고, 사용자들의 펌웨어 업데이트 인식도 낮아 취약한 상태로 장기간 방치되기 쉽다.

기업·기관 대응 방안

즉각 조치 사항으로 MSI Radix AXE6600 사용 기업은 제조사 보안 패치 배포 즉시 펌웨어를 업데이트해야 한다. 패치 전까지는 DMZ 기능 비활성화, 관리자 페이지 외부 접근 차단, 네트워크 세그먼테이션 강화 등 임시 완화 조치가 필요하다.

중장기적으로는 네트워크 장비 도입 시 제조사의 보안 패치 이력과 대응 속도를 평가 기준에 포함해야 한다. 자산 관리 시스템을 통해 펌웨어 버전을 지속 모니터링하고, 취약점 공개 시 신속 대응할 수 있는 체계를 구축해야 한다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

ISMS-P 인증기준 2.10.5 '정보시스템 및 응용프로그램 취약점 점검' 관련 사항이다. 인증 기준은 정보시스템과 네트워크 장비에 대해 정기적인 취약점 점검을 수행하고, 발견된 취약점에 대해 위험도에 따라 조치 우선순위를 결정하여 적시에 보완 조치할 것을 요구한다. 특히 CVSS 7.0 이상의 고위험 취약점은 긴급 조치 대상으로 분류되며, 이번 사례처럼 CVSS 9.8점의 치명적 취약점은 업무 영향도와 무관하게 최우선 조치가 원칙이다.

---

백남정 기자 (security@privacynews.kr)