2026년 7월 7일, CERT Coordination Center(CERT/CC)는 중국 네트워크 장비 제조사 Tenda의 다수 공유기 펌웨어에 문서화되지 않은 인증 백도어가 내장되어 있다고 공식 경고했다. 취약점은 CVE-2026-11405로 추적되며, 공격자는 비밀번호 검증 절차를 우회해 웹 관리 인터페이스의 관리자 권한을 획득할 수 있다. 이 사건은 단순한 단일 제품 결함을 넘어, IoT 기기 공급망 전반에 내재된 신뢰 구조의 취약성을 다시 한번 드러낸 사례로 평가된다.
핵심 요약
- Tenda 공유기 다수 펌웨어 버전에 문서화되지 않은 관리자 백도어가 내장된 것으로 파악됨
- 해당 취약점은 CVE-2026-11405로 추적되며 비밀번호 검증 우회를 통한 관리자 접근이 가능한 것으로 알려짐
- CERT/CC가 2026년 7월 7일 공식 경고를 발표하며 가정과 소규모 사무실 네트워크에 대한 침투 위험 가능성을 알림
이번 백도어 사건은 제조사 신뢰를 전제로 운영되는 IoT 생태계의 구조적 위험을 노출하며, 공급망 단계에서 보안 검증 거버넌스 강화가 요구되는 계기가 될 것으로 분석된다.
사건 개요: Tenda 공유기 펌웨어에서 발견된 숨겨진 관리자 백도어
The Hacker News의 보도와 CERT/CC의 공식 권고에 따르면, Tenda 공유기의 웹 관리 인터페이스에는 펌웨어에 하드코딩된 형태의 인증 백도어가 존재한다. 공격자는 보고된 해당 경로를 통해 정상적인 비밀번호 입력 과정 없이 관리자 세션을 확보할 수 있는 것으로 보고되며, 이후 기기 설정을 임의로 변경하거나 내부 네트워크를 침투하는 발판으로 활용할 수 있다. CERT/CC는 이 백도어가 공급망 단계에서 삽입된 것으로 보인다고 언급했으며, 단순한 사용자 실수로 취급할 수 없는 구조적 사안이라는 점을 강조했다.
취약점 기본 정보
| 항목 | 내용 |
|---|---|
| 취약점 식별자 | CVE-2026-11405 |
| 영향 제조사 | Tenda |
| 취약점 유형 | 문서화되지 않은 인증 백도어 (하드코딩) |
| 악용 표면 | 공유기 웹 관리 인터페이스 |
| 주요 위험 | 비밀번호 검증 우회, 관리자 권한 탈취 |
| 경고 발표 주체 | CERT Coordination Center (CERT/CC) |
| 경고 발표일 | 2026년 7월 7일 |
왜 위험한가: 가정과 소규모 사무실 네트워크에 미치는 실질적 위협
Tenda 공유기는 전 세계적으로 가정용과 소규모 사무실 환경에서 폭넓게 사용되는 보급형 라우터다. 이 같은 보급형 기기에 관리자 백도어가 내장될 경우, 공격자는 인터넷에 직접 노출된 관리 인터페이스를 통해 손쉽게 내부 네트워크로 진입할 수 있다. 관리자 권한을 확보하면 DNS 설정을 변조해 금융·인증 트래픽을 가로채거나, 동일 네트워크에 연결된 IoT 기기, 노트북, NAS를 추가 공격의 발판으로 삼을 수 있다.
- 비밀번호 무력화: 강력한 관리자 비밀번호를 사용하더라도 백도어 경로 자체를 우회하기 때문에 사용자 측의 개별 보안 강화만으로는 차단이 어렵다.
- 외부 노출 기본값: 일부 Tenda 모델은 원격 관리 기능이 기본 활성화되어 있어 인터넷에서 직접 접근 시도가 가능하다.
- 광범위한 영향 범위: 동일 펌웨어가 다수 모델에 공유 적용되는 경우가 많아 단일 결함이 수백만 대의 기기로 확산될 수 있다.
이러한 특성은 이번 사건을 단순한 취약점 한 건이 아니라, IoT 기기의 수명 주기 전반에 걸친 보안 관리 부재의 상징적 사례로 부각시킨다.
IoT 공급망 보안의 구조적 취약점
Tenda 사례는 IoT 기기에서 반복적으로 관찰되는 공급망 보안의 구조적 문제를 적나라하게 보여준다. 첫째, 펌웨어 빌드 과정에서 외부 개발자나 협력사의 개입이 광범위하게 이루어지지만, 그 결과물에 대한 보안 감사는 제조 단계에서 충분히 이뤄지지 않는 것으로 평가된다. 둘째, 하드코딩된 인증 정보나 백도어 경로가 한 번 제품에 포함되면, 펌웨어 업데이트가 이루어지지 않는 한 사실상 제거되기 어렵다. 셋째, 사용자는 제조사가 제공하는 펌웨어를 사실상 신뢰할 수밖에 없으며, 이는 보안 책임이 상당 부분 소비자에게 전가되는 구조적 문제를 낳는다.
보안 커뮤니티에서는 이러한 문제의 일차적 원인이 단일 제조사의 부실이 아니라, IoT 산업 전반의 검증·인증 체계 부재에 있다고 지적해 왔다. 글로벌 표준화 기구들이 라우터 보안 기준을 마련하고는 있으나, 자발적 준수에 그치는 경우가 대부분이며, 공급망의各个环节에서 무결성을 보장하기 위한 제도적 장치는 아직 초기 단계인 것으로 평가된다.
IoT 공급망 보안 규제 필요성
이번 사건을 계기로 여러 보안 전문가들은 미국 FCC, 유럽 ENISA, 한국 KISA 등 국가별 IoT 보안 라벨링 제도를 넘어, 공급망 단계의 컴포넌트 검증과 SBOM(소프트웨어 자재 명세서) 공개를 의무화하는 규제 필요성을 제기하고 있다. 특히 라우터처럼 네트워크 진입점 역할을 하는 기기의 경우, 단일 백도어가 해당 기기를 사용하는 모든 사용자의 보안 수준을 한꺼번에 끌어내린다는 점에서, 의료기기나 산업제어시스템에 준하는 수준의 보안 검증이 요구된다는 시각이 우세하다.
유사 사례 예방을 위한 거버넌스 제안
- 주요 IoT 제조사에 대해 펌웨어 무결성 검증 결과를 정기적으로 제3의 기관이 감사하도록 의무화
- 하드코딩된 비밀번호, 백도어 경로, 비공개 API를 사전에 점검하는 인증 라벨 의무 부여
- 공급망 단계에서 발생하는 모든 코드 변경 이력을 추적할 수 있는 SBOM 제공을 표준화
- EoL(End of Life) 정책과 보안 업데이트 지원 기간을 명시하도록 규제화
전문가 전망과 향후 과제
업계에서는 Tenda가 얼마나 신속하게 패치와 펌웨어 업데이트를 제공할 수 있는지가 향후 피해 확산을 결정짓는 핵심 변수가 될 것이라고 분석한다. 과거 유사 사례에서 저가형 IoT 제조사는 펌웨어 업데이트를 매우 느리게 배포하거나 아예 제공하지 않는 경우가 있었고, 이때 실질적 해결책임은 사용자와 ISP(인터넷 서비스 제공자)로 이동한다. 또한 이번 사건은 다른 중국·저가 IoT 브랜드의 펌웨어에 대해서도 CERT/CC 및 각국 CERT가 광범위한 점검이 필요하다는 촉발제 역할을 할 것으로 전망된다.
궁극적으로 이번 백도어 사건은 IoT 기기의 보안이 더 이상 사용자 개개인의 설정 습관이나 비밀번호 강도만으로 해결되는 문제가 아님을 명확히 보여주었다. 제조사, 통신사, 규제기관, 보안 커뮤니티가 공동으로 책임지는 공급망 차원의 보안 거버넌스가 어느 때보다 절실히 요구되는 시점이다.
핵심 포인트 정리
- CVE-2026-11405는 Tenda 공유기 펌웨어에 내장된 문서화되지 않은 인증 백도어로, 비밀번호 검증 우회를 통해 관리자 접근을 허용한다.
- 공격자는 해당 취약점을 악용해 라우터를 완전 장악하고, 연결된 가전·단말·내부 네트워크로 침투 범위를 확장할 수 있다.
- 이번 사건의 본질은 단일 제조사의 결함이 아니라, IoT 공급망 전반의 검증·인증 거버넌스 부재라는 구조적 문제로 분석된다.
- 향후에는 SBOM 공개, 제3자 펌웨어 감사, 보안 업데이트 지원 의무화 등 공급망 단계의 제도적 보안 장치가 본격적으로 논의될 것으로 전망된다.
참고 자료: The Hacker News 원문 기사, CERT Coordination Center (CERT/CC) 공식 경고