직원 PC에서 액세스 스위치의 로그인 화면이 열린다면, 비밀번호를 몰라도 그 PC의 요청은 이미 웹 관리 서비스에 닿고 있습니다. CVE-2026-107441은 바로 이 지점에서 문제가 됩니다. 점검 범위는 PC나 무선 접속 장비(AP)가 연결되는 GS1900 스위치 자체의 웹 관리 주소입니다.
웹 관리 CGI의 인증 전 취약점
Zyxel은 2026년 11월 3일 처음 공지했고, KISA는 11월 5일 업데이트를 권고했습니다. 웹 관리 요청을 처리하는 CGI에 메모리 범위를 벗어나 쓰는 결함이 있습니다. 제조사 설명에 따르면 LAN 측에서 관리 서비스에 닿을 수 있는 공격자가 로그인 없이 조작한 HTTP 요청으로 운영체제 명령을 실행할 수 있습니다. Zyxel — GS1900 보안 권고 KISA — Zyxel 제품 보안 업데이트 권고
Binarly는 공격자 인프라에서 확보한 도구가 실제 공격에서 이용된 CVE-2026-107441을 겨냥했다고 분석했습니다. 6월에 공지된 CVE-2026-7273은 같은 CGI의 별도 결함입니다. Binarly는 그때 수정된 10개 모델용 펌웨어에도 이번 공격 도구가 겨냥한 결함이 남아 있음을 확인했습니다. Binarly — 실제 악용 분석 Binarly — 기술 권고 BRLY-2026-057
요약 6월 패치 이력이 있는 장비도 현재 실행 중인 버전을 이번 수정 버전과 다시 대조합니다.
모델·리비전과 실행 중인 펌웨어
자산대장에서 설치 위치와 관리 IP를 찾고, 본체 라벨의 모델명·하드웨어 리비전과 장비 화면의 실행 버전을 대조합니다. 2.90만 적으면 모델별 코드와 패치 번호를 놓칩니다. 예를 들어 GS1900-24와 GS1900-24E의 코드는 각각 AAHL과 AAHK입니다. 아래 표는 두 권고에 공통으로 실린 버전입니다. Zyxel — GS1900 보안 권고 KISA — Zyxel 제품 보안 업데이트 권고
| 모델 | 영향 버전 상한·이하 | 공지에 명시된 수정 버전 |
|---|---|---|
| GS1900-8 | 2.90(AAHH.2)C0 | 2.90(AAHH.3)C0 |
| GS1900-8HP | 2.90(AAHI.2)C0 | 2.90(AAHI.3)C0 |
| GS1900-10HP | 2.90(AAZI.2)C0 | 2.90(AAZI.3)C0 |
| GS1900-16 | 2.90(AAHJ.2)C0 | 2.90(AAHJ.3)C0 |
| GS1900-24 | 2.90(AAHL.2)C0 | 2.90(AAHL.3)C0 |
| GS1900-24E | 2.90(AAHK.2)C0 | 2.90(AAHK.3)C0 |
| GS1900-24EP | 2.90(ABTO.2)C0 | 2.90(ABTO.3)C0 |
| GS1900-24HPv2 | 2.90(ABTP.2)C0 | 2.90(ABTP.3)C0 |
| GS1900-48 | 2.90(AAHN.2)C0 | 2.90(AAHN.3)C0 |
| GS1900-48HPv2 | 2.90(ABTQ.2)C0 | 2.90(ABTQ.3)C0 |
요약 모델과 리비전에 맞는 펌웨어를 제조사에서 확인하고, 이후 버전을 선택할 때는 해당 릴리스의 수정 내역도 확인합니다.
관리 VLAN과 실제 접속 경로
스위치의 관리 IP와 실제로 열려 있는 HTTP·HTTPS 포트를 기록합니다. 업무망·게스트망·협력사 VPN이 관리 주소로 라우팅되는지, 어느 방화벽이나 접근 제어 목록(ACL)이 그 흐름에 적용되는지 확인합니다. 같은 VLAN과 서브넷에 있는 단말은 게이트웨이를 거치지 않고 접근할 수 있으므로, 관리 VLAN에 속한 포트와 업링크에서 전달되는 VLAN도 함께 확인합니다.
GS1900 2.90 안내서에는 IPv4 관리 VLAN과 원격 접근 제어의 출발지 IP·포트·서비스 규칙이 나옵니다. 장비의 모델과 실행 버전에서 해당 기능과 적용 범위를 먼저 확인합니다. 장비 자체에서 제한할 수 없다면 비승인 포트를 관리 VLAN에서 빼고, 다른 망에서 들어오는 경로는 실제로 거치는 라우팅 장비에서 제한합니다. IPv6 관리 주소를 쓰는 환경은 해당 경로도 따로 확인합니다. Zyxel — GS1900 시리즈 사용자 안내서 2.90 Ed. 2
요약 패치 전 접근 제한을 적용할 때도 승인된 관리 단말과 현장 복구 경로는 먼저 확보합니다.
패치 전 백업과 재부팅 후 합격 기준
작업 전 설정을 저장·백업하고 복원 방법, 현장 접근 수단, 중단 허용 시간과 복구 기준을 확보합니다. 업링크나 PoE 장비가 연결돼 있다면 영향을 받는 업무를 미리 정합니다. 안내서는 펌웨어 이미지 관리와 업데이트 후 System Info에서 현재 버전을 확인하는 절차를 설명합니다. 장비가 재부팅되면 업로드 파일명이나 백업 이미지의 버전 대신 현재 실행 버전을 읽습니다. Zyxel — GS1900 시리즈 사용자 안내서 2.90 Ed. 2
| 재부팅 후 시험 | 합격 기준 |
|---|---|
| 펌웨어 | 실행 버전이 모델·리비전에 맞는 수정 버전과 일치 |
| 승인 단말 | 허용한 웹 관리 주소·포트에서 정상 로그인과 상태 조회 성공 |
| 비승인 구간 | 일반 업무망과 실제 존재하는 예외·우회 경로에서 정상 웹 접속 시도가 관리 화면에 도달하지 않음 |
| 업무 통신 | 대표 업무 단말 통신과 해당 장비에 연결된 AP·전화 등 주요 서비스 정상 |
시험은 일반 브라우저 연결로 하고 출발 구간, 목적지, 시각, 결과를 남깁니다. 접속 실패는 의도한 규칙 때문인지 정책 기록이나 같은 시각의 로그로 확인합니다. 과거 비승인 접근이 가능했거나 설명되지 않는 설정 변경·외부 연결이 보이면, 사고 대응 담당자에게 알리고 격리와 증거 보존을 진행합니다. 이미 침해가 의심된다면 재부팅 전에 확보할 로그와 설정을 사고 대응 절차에 따라 정합니다. 접근 제한은 도달 경로를 줄이고, 패치는 결함을 수정하며, 사고 조사는 패치 이전의 행위를 확인합니다.
자주 묻는 질문
HTTPS만 켜면 이 취약점에 대응할 수 있습니까?
HTTPS는 전송 구간을 암호화합니다. 승인 구간만 웹 관리 서비스에 닿도록 제한하고, 해당 모델의 수정 펌웨어도 적용합니다.
비승인 구간에서 로그인 화면만 보여도 실패입니까?
접근 차단 시험에서는 실패로 기록합니다. 인증 화면이 보인다는 것은 관리 웹 서비스가 응답했다는 뜻이므로, 사용한 주소·포트와 실제 통과 경로를 다시 확인합니다.
복구 때문에 취약한 이전 이미지로 되돌렸다면 어떻게 처리합니까?
관리 접근 제한을 유지하고 자산 상태를 패치 미완료로 기록합니다. 복구 후에는 수정 버전으로 재적용할 일정과 검증 담당자를 지정합니다.
결론
장비별 변경 기록에 실행 버전, 승인 단말 성공, 비승인 구간 차단, 업무 통신 결과를 각각 남깁니다. 하나라도 확인하지 못했다면 그 장비의 작업은 미완료로 남기고, 침해 의심이 있으면 별도 조사 기록을 엽니다.