MSI 게이밍 공유기서 CVSS 9.8점 치명적 취약점…원격 루트 탈취 가능

인증 없이 공격 가능한 명령어 삽입 취약점 발견, 봇넷 편입·내부망 침투 등 2차 피해 우려 커
제조사 펌웨어 업데이트 배포 예정, 사용자 즉각 대응 필요

---

취약점 개요 및 위험성

글로벌 하드웨어 제조업체 MSI의 프리미엄 게이밍 공유기 'Radix AXE6600'에서 치명적인 보안 취약점이 발견돼 사용자들의 긴급 대응이 요구된다.

이번에 발견된 취약점(CVE-2026-71986)은 명령어 삽입(Command Injection) 유형으로, 공격자가 별도의 인증 절차 없이 원격에서 공유기의 루트(root) 권한을 탈취할 수 있는 심각한 결함이다. 국제 취약점 평가 기준인 CVSS(Common Vulnerability Scoring System)에서 9.8점을 기록하며 '치명적(Critical)' 등급으로 분류됐다.

CVSS 9.8점은 10점 만점 기준 최고 위험 수준에 해당하며, 이는 공격 복잡도가 낮고 사용자 상호작용 없이도 악용이 가능하다는 의미다.

---

예상되는 2차 피해 시나리오

보안 전문가들은 이번 취약점이 악용될 경우 다음과 같은 연쇄 피해가 발생할 수 있다고 경고한다.

위협 유형	상세 내용
네트워크 도청	공유기를 경유하는 모든 트래픽 감청, 개인정보·금융정보 탈취
봇넷 편입	감염된 공유기가 DDoS 공격 인프라로 악용
내부 네트워크 침투	공유기를 거점으로 연결된 PC·IoT 기기 추가 공격
DNS 변조	피싱 사이트로 트래픽 우회, 2차 사기 피해 유발

특히 게이밍 공유기 특성상 고성능 스펙을 갖추고 있어 봇넷으로 활용될 경우 일반 공유기보다 더 강력한 공격 도구가 될 수 있다는 점도 우려된다.

---

공통 패턴: IoT·네트워크 장비 보안의 구조적 허점

이번 사례는 IoT 및 네트워크 장비에서 반복적으로 나타나는 보안 취약점 패턴을 여실히 보여준다.

첫째, 웹 관리 인터페이스의 입력값 검증 부재다. 명령어 삽입 취약점은 사용자 입력을 시스템 명령어로 직접 전달하는 과정에서 적절한 필터링이 이뤄지지 않아 발생한다.

둘째, 펌웨어 개발 단계에서의 보안 검토 미흡이다. 출시 전 침투 테스트와 코드 리뷰가 충분히 이뤄졌다면 사전에 발견할 수 있는 취약점이었다.

셋째, 일반 사용자의 펌웨어 업데이트 인식 부족이다. 공유기는 한 번 설치하면 수년간 방치되는 경우가 많아, 취약점 패치가 배포되더라도 실제 적용률은 낮은 편이다.

---

기업·기관 대응 방안

즉시 조치 사항
- 해당 공유기 사용 여부 확인 및 자산 목록 점검
- MSI 공식 홈페이지에서 보안 펌웨어 업데이트 모니터링
- 원격 관리 기능 비활성화 및 관리자 페이지 외부 접근 차단

중장기 보안 강화 방안
- 네트워크 장비 자동 업데이트 정책 수립
- IoT·네트워크 장비 대상 주기적 취약점 스캔 체계 구축
- ISMS-P 인증 기업의 경우 기술적 보호조치 항목 재점검

MSI 측은 현재 해당 취약점에 대한 보안 패치를 개발 중이며, 조속한 시일 내 펌웨어 업데이트를 배포할 예정이라고 밝혔다.

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

[ISMS-P 2.10 정보시스템 및 개인정보처리시스템 보안]

>

네트워크 장비를 포함한 정보시스템에 대해 알려진 취약점 점검 및 보안 업데이트 적용이 필수 요구사항이다. 특히 CVSS 7.0 이상의 고위험·치명적 취약점 발견 시 우선순위를 두고 신속하게 패치를 적용해야 하며, 즉각 조치가 어려운 경우 네트워크 분리, 접근 통제 강화 등 보완 통제(Compensating Control) 를 적용해야 한다. 공유기와 같은 네트워크 경계 장비는 침투의 관문이 될 수 있어 자산 관리 대상에 반드시 포함해야 한다.

---

백남정 기자 (privacynews@example.com)