MSI 게이밍 공유기, CVSS 9.8점 원격 루트 탈취 취약점 발견…즉시 조치 필요

프리미엄 게이밍 공유기에서 인증 없이 완전한 제어권을 빼앗길 수 있는 치명적 보안 결함이 확인됐다. MSI의 최신 WiFi 6E 공유기 사용자라면 펌웨어 업데이트 여부를 즉시 확인해야 한다.

---

사건 개요

MSI의 프리미엄 WiFi 6E 게이밍 공유기 'Radix AXE6600'에서 CVSS 9.8점의 치명적 취약점(CVE-2026-71986)이 발견됐다. 이 취약점을 악용하면 공격자는 별도의 인증 절차 없이 원격에서 공유기의 루트(root) 권한을 완전히 탈취할 수 있다.

문제의 핵심은 DMZ(비무장지대) 설정 기능에서 발생한 명령어 삽입(Command Injection) 취약점이다. 사용자 입력값에 대한 검증이 제대로 이루어지지 않아, 악의적으로 조작된 입력이 시스템 명령어로 그대로 실행되는 것이다.

---

기술적 분석: 왜 이토록 위험한가

CVSS 9.8점이 의미하는 바는 명확하다. CVSS(Common Vulnerability Scoring System) 평가 기준에서 9.0점 이상은 '치명적(Critical)' 등급으로, 즉각적인 대응이 필요한 수준이다.

이번 취약점의 위험성을 높이는 요인은 다음과 같다:

위험 요소	상세 내용
인증 불필요	공격자가 로그인 정보 없이 공격 가능
원격 실행	물리적 접근 없이 네트워크를 통해 공격
루트 권한	시스템 최고 권한 탈취로 완전한 제어 가능
복잡도 낮음	특별한 기술 없이도 악용 가능

공유기가 장악되면 공격자는 가정 및 기업 네트워크의 모든 트래픽을 감청하고, 악성코드 유포지로 악용하거나, 내부 네트워크 침투의 교두보로 삼을 수 있다.

---

공통 패턴: 반복되는 IoT 보안 실패

이번 사례는 IoT 기기 보안에서 반복적으로 나타나는 입력값 검증 미흡 문제의 전형적 사례다. 웹 인터페이스나 API에서 사용자 입력을 신뢰하고 그대로 시스템 명령어에 전달하는 구조적 취약점은 수년째 보안 위협 상위권을 차지하고 있다.

특히 네트워크 장비는 한 번 설치하면 펌웨어 업데이트에 소홀해지기 쉽고, 24시간 인터넷에 연결되어 있어 공격 노출 시간이 길다는 점에서 각별한 주의가 필요하다.

---

기업·개인 대응 방안

즉시 조치사항:
- MSI 공식 사이트에서 최신 펌웨어 업데이트 확인 및 적용
- DMZ 기능 사용 중이라면 임시 비활성화 검토
- 공유기 관리자 페이지 외부 접근 차단 설정

장기적 보안 강화:
- 네트워크 장비 자동 업데이트 기능 활성화
- 주기적인 공유기 로그 모니터링
- 불필요한 원격 관리 기능 비활성화

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

[ISMS-P 2.10.3 보안 기능 적용]

>

정보시스템 개발 시 입력값 검증, 인증·인가, 암호화 등의 보안 기능을 적용해야 한다. 이번 사례는 입력값 검증 미흡으로 인한 명령어 삽입 취약점의 대표적 사례로, 시스템 개발·도입 시 OWASP Top 10 등 보안 취약점 점검 기준을 적용해야 함을 보여준다. 특히 외부 입력값은 화이트리스트 기반 검증을 원칙으로 하고, 시스템 명령어 실행 시 파라미터화된 함수를 사용해야 한다.

---

백남정 기자 | 개인정보보호 전문