CERT/CC, Tenda 공유기 펌웨어 백도어 취약점 공개…패치 없이 완화 권고

CERT/CC 취약점 노트에 따르면 Tenda 일부 펌웨어에서 웹 관리 인터페이스의 인증을 우회할 수 있는 숨은 백도어 메커니즘이 확인됐다. 해당 취약점은 CVE-2026-11405로 등록됐으며, CERT/CC는 2026년 7월 6일 공개 문서에서 패치가 없는 상태라며 원격 관리 비활성화와 내부망 노출 제한을 완화책으로 제시했다.

CERT/CC는 여러 Tenda 펌웨어 버전의 웹 서버 바이너리 `/bin/httpd`에 문서화되지 않은 인증 경로가 들어 있다고 설명했다. 정상 인증이 실패한 뒤 장비 설정값에서 별도 비밀번호를 읽어 사용자 입력값과 평문 비교하고, 값이 맞으면 관리자 권한 세션을 생성하는 구조다. 이 과정에서 사용자 이름은 검증되지 않아 임의의 사용자 이름과 해당 백도어 비밀번호 조합만으로 관리자 접근이 가능하다고 CERT/CC는 밝혔다.

영향을 받는 것으로 공개된 펌웨어는 FH1201, W15E, AC10, AC5, AC6 계열 일부 미국·다국어 펌웨어 버전이다. CVE Record는 문제 유형을 숨은 기능을 뜻하는 CWE-912로 분류했다. 취약점 자체는 홈·소규모 사업장용 네트워크 장비에서 특히 민감하다. 관리자 권한이 탈취되면 DNS, 무선 설정, 원격 관리, 방화벽 설정이 바뀔 수 있고, 내부 네트워크로 이어지는 추가 침해의 발판이 될 수 있기 때문이다.

CERT/CC는 벤더와 취약점 조율을 시도했지만 연락이 닿지 않았다고 밝혔다. 문서의 벤더 정보 항목에도 Tenda의 입장은 접수되지 않은 상태로 표시돼 있다. 패치가 없다는 점 때문에 운영자는 장비의 원격 웹 관리 기능을 끄고, 관리 인터페이스가 인터넷이나 신뢰할 수 없는 네트워크에 노출돼 있지 않은지 우선 확인해야 한다.

이번 취약점은 단일 애플리케이션 버그라기보다 펌웨어 내부의 문서화되지 않은 인증 경로라는 점에서 위험도가 크다. 특히 가정용·소규모 사무실용 공유기는 장기간 업데이트 없이 방치되는 경우가 많고, 관리자 페이지가 외부에서 접근 가능하게 설정된 장비도 적지 않다. 패치가 나오기 전까지는 노출 차단과 장비 교체 검토가 현실적인 대응 수단이 될 수 있다.

국내 이용자에게 직접적인 영향 범위는 아직 확인이 필요하다. 공개 목록은 특정 펌웨어 문자열을 기준으로 하고 있어, 동일하거나 유사한 모델명이 국내에 유통됐더라도 펌웨어 빌드가 다를 수 있다. 다만 Tenda 장비를 운영 중인 개인과 조직은 모델명과 펌웨어 버전을 확인하고, 벤더 다운로드 페이지나 판매처 공지를 통해 수정 펌웨어 제공 여부를 지속적으로 점검할 필요가 있다.

출처: CERT/CC VU#213560 https://kb.cert.org/vuls/id/213560
출처: CVE Record CVE-2026-11405 https://cveawg.mitre.org/api/cve/CVE-2026-11405
출처: Tenda Download Center https://www.tendacn.com/download/