MSI 게이밍 공유기, CVSS 9.8점 치명적 취약점…인증 없이 루트 권한 탈취 가능

---

글로벌 하드웨어 제조사 MSI의 프리미엄 게이밍 공유기에서 최고 수준의 보안 취약점이 발견됐다. 공격자가 별도 인증 없이 원격에서 기기의 최고 관리자 권한을 탈취할 수 있는 심각한 결함으로, 해당 제품 사용자들의 즉각적인 대응이 요구된다.

---

취약점 상세 분석

MSI의 WiFi 6E 게이밍 공유기 'Radix AXE6600'에서 발견된 취약점(CVE-2026-71986)은 명령어 삽입(Command Injection) 유형으로 분류된다. CVSS(공통취약점등급시스템) 점수 9.8점은 10점 만점 기준 '치명적(Critical)' 등급에 해당하며, 이는 보안 취약점 중 가장 높은 위험도를 의미한다.

해당 취약점의 핵심 위험 요소는 다음과 같다.

항목	내용
취약점 유형	명령어 삽입(CWE-78)
공격 벡터	네트워크(원격 공격 가능)
인증 요구	불필요(Unauthenticated)
권한 획득 수준	루트(Root) - 최고 관리자
영향 범위	기밀성·무결성·가용성 전면 침해

공격자는 특별한 사용자 인증 절차 없이 네트워크를 통해 악의적인 명령어를 주입할 수 있으며, 이를 통해 공유기의 루트 권한을 완전히 장악할 수 있다. 루트 권한 탈취 시 네트워크 트래픽 도·감청, 악성코드 유포지 전환, 내부 네트워크 침투를 위한 거점 확보 등 2차 피해로 이어질 가능성이 높다.

---

공통 패턴: IoT 기기 보안의 구조적 취약성

이번 사례는 IoT 및 네트워크 장비에서 반복적으로 나타나는 보안 취약점 패턴을 여실히 보여준다.

첫째, 입력값 검증 미흡이다. 명령어 삽입 취약점은 사용자 입력값에 대한 적절한 필터링과 검증이 이루어지지 않을 때 발생한다. 개발 단계에서의 시큐어 코딩 원칙 준수가 필수적이다.

둘째, 임베디드 기기의 보안 업데이트 한계다. 공유기, IP카메라 등 임베디드 기기는 일반 PC와 달리 자동 업데이트 체계가 미비하고, 사용자들의 펌웨어 업데이트 인식도 낮아 취약점이 장기간 방치되는 경향이 있다.

셋째, 고성능 게이밍 장비의 보안 역설이다. 프리미엄 게이밍 공유기는 고성능·다기능을 강조하지만, 복잡한 기능 구현 과정에서 보안 검증이 충분히 이루어지지 않는 사례가 빈번하다.

---

기업·기관 대응 방안

즉시 조치 사항
- 해당 제품 사용 여부 확인 및 MSI 공식 채널을 통한 최신 펌웨어 즉시 적용
- 공유기 관리자 페이지 외부 접근 차단 설정
- 기본 관리자 계정 비밀번호 변경

중장기 보안 강화 방안
- 네트워크 장비 자산 목록 관리 및 정기적 취약점 점검 체계 수립
- 중요 시스템과 IoT 장비 간 네트워크 분리(세그멘테이션) 적용
- 제조사의 보안 패치 지원 종료(EoL) 제품에 대한 교체 계획 마련

---

📚 CPPG·ISMS-P 시험 연계 포인트

>

ISMS-P 인증기준 2.10.1 보안시스템 운영에서는 네트워크 장비를 포함한 정보시스템에 대해 알려진 취약점에 대한 패치 적용 및 보안 업데이트 관리를 요구한다. 특히 CVE로 공개된 취약점에 대해서는 위험도 평가를 수행하고, 치명적(Critical) 등급의 경우 긴급 패치 절차를 마련해야 한다. 본 사례와 같이 CVSS 9.0 이상의 취약점은 최우선 대응 대상으로 분류되며, 패치 적용이 불가능한 경우 보완 통제(Compensating Control) 적용 근거를 문서화해야 한다.

---

게이밍 공유기라 하더라도 기업 재택근무 환경이나 소규모 사업장에서 활용되는 경우가 적지 않다. 해당 제품 사용자는 즉시 펌웨어 업데이트 여부를 확인하고, 조직 내 IoT 장비 보안 관리 체계를 재점검할 필요가 있다.

백남정 기자 | 개인정보보호 전문