MSI 게이밍 공유기서 CVSS 9.8점 치명적 취약점 발견…원격 루트 탈취 가능

---

국내외 게이머들에게 인기 있는 MSI의 프리미엄 게이밍 공유기 'Radix AXE6600'에서 인증 없이 원격으로 최고 관리자 권한을 탈취할 수 있는 치명적 보안 취약점이 발견됐다. CVSS 9.8점으로 '치명적(Critical)' 등급에 해당하며, 네트워크 전체가 공격자에게 노출될 수 있어 사용자들의 즉각적인 대응이 요구된다.

---

취약점 상세 분석

이번에 발견된 취약점(CVE-2026-71986)은 '명령어 삽입(Command Injection)' 유형으로, 공격자가 특수하게 조작된 요청을 공유기에 전송하면 별도의 인증 절차 없이 루트(root) 권한으로 임의의 시스템 명령어를 실행할 수 있다.

해당 취약점의 심각성은 다음과 같이 요약된다.

항목	내용
CVE 번호	CVE-2026-71986
CVSS 점수	9.8 / 10.0 (Critical)
공격 벡터	네트워크(원격)
인증 필요 여부	불필요
영향 범위	루트 권한 완전 탈취

특히 우려되는 점은 공격의 용이성이다. 원격에서 인증 없이 공격이 가능하고, 사용자 상호작용도 필요하지 않아 대규모 자동화 공격에 악용될 가능성이 높다.

예상되는 2차 피해

공유기는 가정과 소규모 사무실 네트워크의 '관문' 역할을 수행하기 때문에 침해 시 피해가 광범위하게 확산될 수 있다.

첫째, 네트워크 도청 위험이다. 공격자가 공유기를 장악하면 해당 네트워크를 통과하는 모든 트래픽을 감청할 수 있다. 암호화되지 않은 통신은 물론, SSL/TLS 트래픽에 대한 중간자 공격(MITM)도 가능해진다.

둘째, 봇넷 편입 가능성이다. 과거 Mirai 봇넷 사례에서 확인됐듯이, 취약한 네트워크 장비는 DDoS 공격용 좀비 기기로 전락할 수 있다. 게이밍 공유기는 고성능 하드웨어를 탑재하고 있어 공격자에게 더욱 매력적인 타깃이 된다.

셋째, 내부 네트워크 침투의 교두보가 된다. 공유기 침해를 시작점으로 연결된 PC, 스마트폰, IoT 기기 등으로 공격이 확대될 수 있으며, 이는 개인정보 유출 및 랜섬웨어 감염으로 이어질 수 있다.

공통 패턴과 근본 원인

이번 사례는 IoT·네트워크 장비 보안에서 반복적으로 나타나는 문제점을 여실히 보여준다. 입력값 검증 미흡, 최소 권한 원칙 미적용, 보안 개발 생명주기(SDLC) 부재 등이 근본 원인으로 지목된다. 특히 게이밍 장비 시장에서 성능과 기능에 집중하면서 보안이 후순위로 밀리는 경향이 문제다.

사용자 및 기업 대응 방안

즉시 조치 사항:
- MSI 공식 홈페이지에서 최신 펌웨어 업데이트 확인 및 적용
- 공유기 관리자 페이지 외부 접근 차단
- 기본 관리자 비밀번호 변경

중장기 대응:
- 네트워크 장비 자산 목록 관리 및 정기 취약점 점검 체계 수립
- 제조사 보안 업데이트 알림 구독 및 모니터링

백남정 기자 | security@newsdesk.kr

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

ISMS-P 인증기준 2.10.4 '취약점 점검 및 조치'

>

조직은 정보시스템, 네트워크 장비 등에 대해 정기적으로 취약점을 점검하고, 발견된 취약점에 대해 위험도에 따른 우선순위를 정하여 적시에 조치해야 한다. 특히 CVSS 9.0 이상의 치명적 취약점은 긴급 조치 대상으로 분류되며, 패치 적용이 어려운 경우 네트워크 분리, 접근통제 강화 등 보완 통제를 적용해야 한다. 본 사례는 네트워크 장비 취약점 관리의 중요성과 긴급 대응 체계 구축의 필요성을 보여주는 대표적 사례다.