전 세계 서버와 데이터센터가 쓰는 부팅 펌웨어에서 심각도 9.5점짜리 코드 실행 취약점이 발견됐다. 운영체제가 뜨기도 전, 보안 방어막이 작동하기 전에 공격자가 코드를 심을 수 있는 구멍이다. 문제는 이 결함이 특정 제품 하나가 아니라 사실상 업계 표준 코드베이스에 들어 있다는 점이다. 그리고 수정 코드는 이미 공개됐다.
EDK2는 사실상 업계의 공용 뼈대
취약점이 자리한 곳은 TianoCore EDK II(EDK2)다. 하드웨어 제조사와 클라우드 사업자가 UEFI 펌웨어를 만들 때 가져다 쓰는 오픈소스 코드베이스로, CVE-2026-97631로 추적되는 이 결함은 ICMP 구성요소의 메모리 손상 문제다. AMI, Insyde, Phoenix 등 거의 모든 UEFI 공급사(IBV)가 이 레퍼런스 코드를 폭넓게 사용하며, 마이크로소프트가 강화해 만든 EDK2 포크인 Project Mu 역시 문제의 구성요소를 포함한 코드를 썼다.
“UEFI 사양의 가장 뛰어난 구현체.” — UEFI Forum 관계자
UEFI Forum 관계자가 지난해 EDK2를 이렇게 부른 것은 우연이 아니다. 한 곳이 흔들리면 그 위에 올라간 수많은 제품이 함께 흔들린다는 뜻이기도 하다.
Secure Boot보다 먼저, TPM보다 먼저
이 취약점의 진짜 무서움은 실행 시점에 있다. 공격자는 운영체제와 펌웨어가 Secure Boot 같은 방어 체계를 세우기 전에 악성 코드를 돌릴 수 있다. Secure Boot는 부팅 과정에 실리는 모든 코드, 나아가 TPM(신뢰 플랫폼 모듈)까지 아우르는 신뢰 사슬을 세우는 장치다. 그 사슬이 만들어지기 전에 끼어들 수 있다면, 방어 논리는 출발선에서 흔들린다.
최종 페이로드는 지속성(persistence)이 없어 한 번만 실행된다. 하지만 Ars Technica 보도에 따르면 공격자는 이를 발판 삼아 부팅 초기마다 매번 실행되는 다른 페이로드를 심을 수 있는 넓은 틈을 얻는다.
균열은 이미 새어 나왔다
발견자는 Anthropic의 Alex Matrosov와 Google의 Dan Holmes다. 두 사람은 내년 1월로 예정된 조율된 공개(coordinated disclosure)까지 내용을 봉인해두려 했다. 계획은 어긋났다. 메인보드·하드웨어 제조사 AMI가 지난달 취약점을 상세히 설명하고 수정 코드까지 담은 풀 리퀘스트를 공개하면서다. 발견자들이 이를 인지한 뒤 TianoCore 프로젝트 구성원들은 지난주 공개 권고문을 냈다.
패치 코드가 공개됐다는 건 숙련된 공격자에게는 취약점 작동 방식을 익히고 실제 공격 코드를 만드는 일이 어렵지 않아진다는 의미다. 게다가 수천 개 하드웨어 제조사와 클라우드 사업자가 이미 팔아 치운 수백만 대의 기기에 UEFI 코드를 패치하는 작업은 느리고 번거롭다. 이번 소식은 또 다른 공개 사고가 있은 지 엿새 만에 나왔다.
한눈에 보기
- 취약점 번호: CVE-2026-97631
- 심각도: 10점 만점에 9.5점
- 대상: TianoCore EDK II의 ICMP 구성요소 (메모리 손상)
- 영향 범위: AMI, Insyde, Phoenix 등 UEFI 공급사 제품, 마이크로소프트 Project Mu 포크
- 발견자: Anthropic의 Alex Matrosov, Google의 Dan Holmes
- 공개 경위: AMI의 풀 리퀘스트로 조기 노출, TianoCore가 지난주 권고문 발표
서버 한 대씩 고치는 일이 남았다
기술적 패치는 존재한다. 진짜 숙제는 배포다. 클라우드 사업자와 서버 제조사, 그리고 그 장비를 쓰는 기업이 각자 자신의 인벤토리를 훑어 펌웨어 업데이트를 밀어 넣어야 한다. 부팅 이전 단계를 노리는 결함은 백신이나 애플리케이션 패치로는 막을 수 없고, 원격 관리 도구가 닿지 않는 구형 장비일수록 더 오래 방치된다. 펌웨어 신뢰 사슬의 첫 고리가 이미 공개된 상태라는 점을, 각 조직은 자기 자산 목록의 크기로 체감하게 될 것이다.
출처
이 글은 공식 발표와 국내외 테크 매체 보도를 바탕으로 AI가 자동 작성했습니다. 세부 내용은 출처 원문을 확인해주세요. 📚 테크 뉴스 모아보기