CVE-2026-6644: ASUSTOR ADM PPTP VPN 클라이언트 명령 주입 취약점 분석 | CIP Blog

최근 ASUSTOR NAS 운영체제인 ADM(ASUSTOR Data Master)에서 치명적인 명령 주입 취약점 CVE-2026-6644가 공개되었다. 이 취약점은 ADM의 PPTP VPN Client 기능에서 발견되었으며, 관리자 권한을 보유한 공격자가 제한된 웹 관리 환경을 벗어나 NAS의 기본 운영 체제에서 임의 명령을 실행할 수 있도록 한다.

ASUSTOR 보안 권고에 따르면, 해당 취약점은 사용자 입력값이 시스템 셸로 전달되기 전에 충분히 검증되지 않아 발생한다. 취약한 입력값이 pppd 설정 파일의 pty 지시문에 반영되고, 이후 /bin/sh를 통해 실행되면서 root 수준의 명령 실행으로 이어질 수 있다. 영향을 받는 버전은 ADM 4.1.0부터 4.3.3.RR42까지, 그리고 ADM 5.0.0부터 5.1.2.REO1까지이며, ASUSTOR는 ADM 5.1.3.RGO1 및 ADM 4.3.3.RSU1 버전에서 문제를 수정했다.

본 글에서는 CVE-2026-6644의 기술적 구조와 공격 흐름을 분석하고, 외부에 노출된 ASUSTOR ADM 관리 인터페이스가 이 취약점과 결합될 때 어떤 공격 대상 영역을 형성하는지 살펴본다.

CVE-2026-6644 취약점 개요

항목	내용
취약점 ID	CVE-2026-6644
영향 제품	ASUSTOR Data Master(ADM)
취약 기능	PPTP VPN Client
취약점 유형	OS Command Injection
CWE	CWE-78
CVSS 점수	9.1 Critical(CVSS 3.1), 9.4 Critical(CVSS 4.0)
영향 버전	ADM 4.1.0 ~ 4.3.3.RR42, ADM 5.0.0 ~ 5.1.2.REO1
패치 버전	ADM 5.1.3.RGO1 이상, ADM 4.3.3.RSU1 이상
공격 조건	ADM 관리자 인증 필요
영향	root 권한 명령 실행, NAS 완전 장악 가능

CVE-2026-6644는 ADM의 PPTP VPN Client 기능에서 발생하는 인증 후 명령 주입 취약점이다. 공격자는 ADM 관리 인터페이스에 관리자 권한으로 접근한 뒤, PPTP VPN 연결 설정 과정에서 조작된 서버 주소 값을 입력할 수 있다. 이 값이 적절히 이스케이프되거나 검증되지 않은 상태로 pppd 설정 파일에 기록되면, 이후 pppd가 해당 값을 /bin/sh를 통해 실행하면서 임의 명령 실행이 가능해진다.

중요한 점은 이 취약점이 사전 인증(pre-authentication) RCE는 아니라는 점이다. 공격자는 먼저 ADM 관리 인터페이스에 관리자 권한으로 접근해야 한다. 그러나 NAS 장비는 외부 저장소, 백업 서버, 미디어 서버, 소규모 업무 파일 서버 등으로 운영되는 경우가 많고, 관리 인터페이스가 인터넷에 직접 노출되어 있거나 기본 관리자 계정이 변경되지 않은 환경에서는 실제 위험도가 크게 높아진다. 한 연구자는 기본 관리자 계정 또는 약한 관리자 비밀번호가 유지된 환경에서는 외부에 노출된 ADM 관리 인터페이스가 초기 접근 경로로 악용될 수 있다고 지적한다.

기술적 원인 및 공격 흐름 분석

CVE-2026-6644의 핵심은 ADM의 PPTP VPN Client 설정 과정에서 사용자 입력값이 충분히 검증되지 않은 채 시스템 명령 실행 경로로 전달된다는 점에 있다. 취약점은 ADM의 /portal/apis/settings/vpn.cgi에서 발생하며, 해당 핸들러는 PPTP VPN 연결을 구성하는 과정에서 사용자가 입력한 서버 주소 값을 pppd 설정 파일의 pty 지시문에 기록한다. 문제는 이 서버 주소 값이 별도의 이스케이프나 입력 검증 없이 반영될 수 있다는 점이다.

pppd는 pty 값을 처리하는 과정에서 /bin/sh를 통해 명령을 실행할 수 있다. 따라서 공격자가 ADM 관리자 권한을 확보한 뒤 PPTP 서버 주소 필드에 조작된 문자열을 입력하면, 원래는 VPN 연결 대상 정보를 지정해야 할 값이 셸 명령으로 해석될 수 있다. 이 경우 공격자는 제한된 ADM 웹 관리 환경을 벗어나 NAS의 기본 운영체제에서 root 권한 명령을 실행할 수 있다.

이 취약점은 사전 인증 RCE는 아니므로 공격자는 먼저 ADM 관리자 권한을 확보해야 한다. 그러나 NAS 관리 페이지가 인터넷에 직접 노출되어 있고 기본 계정, 약한 비밀번호, 유출된 자격 증명이 사용되는 환경에서는 관리자 인증 단계가 실질적인 공격 장벽으로 작동하지 않을 수 있다. 특히 NAS는 업무 문서, 백업 데이터, 계정 정보, 로그, 개발 산출물 등이 저장되는 데이터 허브로 사용되는 경우가 많기 때문에, 명령 실행 성공 이후에는 파일 탈취, 백업 데이터 삭제, 랜섬웨어 배포, 내부 네트워크 정찰, 백도어 설치 등으로 공격 범위가 확대될 수 있다.

결국 CVE-2026-6644는 단순한 PPTP VPN Client 기능 오류가 아니라, 외부에 노출된 ADM 관리 인터페이스와 취약한 계정 관리가 결합될 때 NAS 전체 장악으로 이어질 수 있는 명령 주입 취약점이다. 동일한 처리 흐름에서 사용자 이름과 비밀번호 파라미터에는 일정 수준의 이스케이프 처리가 적용되지만, 서버 주소 값에는 동일한 보호 로직이 적용되지 않았다는 점에서 특정 입력 필드에 대한 검증 누락이 치명적인 실행 경로로 확장된 사례로 볼 수 있다.

PoC 공개와 실제 공격 가능성

CVE-2026-6644는 패치 이후 연구자 분석과 함께 PoC가 공개되었다. 연구자는 공개된 스크립트가 실제 ASUSTOR 장비에 접속해 공격을 수행하는 도구가 아니라, 취약한 fprintf 포맷과 pppd의 /bin/sh -c 실행 흐름을 Python으로 재현하는 최소 로컬 재현 코드라고 설명했다.

그러나 PoC가 최소 재현 코드라는 점이 위험을 낮추지는 않는다. 취약점의 원리가 공개되었고, 영향을 받는 버전과 취약 함수, 입력 필드, 실행 경로가 비교적 명확하게 설명되어 있기 때문이다. 공격자는 공개된 분석을 바탕으로 실제 ADM 환경에 맞춘 익스플로잇을 재구성할 수 있다.

특히 이 취약점은 사전 인증 RCE가 아니지만, 다음 조건이 결합될 경우 실제 악용 가능성이 높아진다.

ADM 관리 인터페이스가 인터넷에 직접 노출된 경우
기본 관리자 계정 또는 약한 비밀번호가 사용되는 경우
ADM 펌웨어가 장기간 업데이트되지 않은 경우
PPTP VPN Client 기능이 활성화되어 있거나 접근 가능한 경우
NAS가 내부 중요 데이터 저장소로 사용되는 경우

따라서 CVE-2026-6644의 위험은 단순히 “관리자 인증이 필요한 취약점”으로 축소해서 볼 수 없다. 실제 공격 표면은 외부 노출된 관리 인터페이스, 계정 보안 수준, NAS 운영 위치, 저장 데이터의 민감도에 의해 결정된다.

Criminal IP로 관측한 외부 노출 ASUSTOR ADM 자산

CVE-2026-6644의 실제 공격 대상 영역을 평가하기 위해서는 취약점 자체뿐 아니라, 인터넷에서 접근 가능한 ASUSTOR 관련 자산이 얼마나 존재하는지 확인해야 한다. ASUSTOR NAS는 웹 기반 관리 인터페이스와 HTTPS 서비스를 제공하는 경우가 많으며, 장비에서 사용되는 인증서 정보는 외부 노출 자산을 식별하는 단서가 될 수 있다.

Criminal IP Asset Search에서는 다음 쿼리를 활용해 ASUSTOR 관련 인증서를 사용하는 외부 노출 자산을 탐색할 수 있다.

Criminal IP Search Query: ssl_issuer_organization: “Asustor”

https://search.criminalip.io/ko/asset/search?query=ssl_issuer_organization%3A+%22Asustor%22

Criminal IP Asset Search에서 ASUSTOR ADM 노출 자산을 검색한 결과

해당 쿼리는 SSL/TLS 인증서의 발급자 조직 필드에 Asustor가 포함된 자산을 검색한다. 즉, ASUSTOR NAS 또는 ASUSTOR 관련 서비스로 추정되는 외부 노출 자산을 식별하는 데 활용할 수 있다. 2026년 5월 8일 기준, Criminal IP Asset Search에서 해당 쿼리를 검색한 결과 16,057개의 검색 결과가 확인되었다.

다만 이 쿼리는 ASUSTOR 관련 자산을 찾기 위한 탐색 쿼리이며, 검색된 모든 자산이 CVE-2026-6644에 취약하다는 의미는 아니다. 실제 취약 여부를 판단하기 위해서는 ADM 버전, 관리 인터페이스 접근 가능 여부, PPTP VPN Client 기능 사용 여부, 패치 적용 여부를 추가로 확인해야 한다.

Criminal IP Asset Search에서 ASUSTOR 관련 개별 자산을 분석한 결과

한 자산을 분석하면, ASUSTOR 관련 웹 서비스가 외부에 노출된 정황을 보다 구체적으로 확인할 수 있다. 예를 들어 특정 자산에서는 TCP 80번 포트와 443번 포트가 모두 열려 있으며, 각각 HTTP와 HTTPS 서비스가 정상 응답 상태 코드 200을 반환하고 있었다. 서비스 제품은 Apache로 식별되었고, 페이지 타이틀은 Ready to Serve!로 표시되었다.

특히 HTTP 응답 배너에서는 다음과 같은 HTML 정보가 확인된다.

이는 해당 웹 서비스가 ASUSTOR NAS 또는 ASUSTOR에서 제공하는 기본 웹 서비스와 연관되어 있을 가능성을 보여준다. 또한 동일 자산에서 HTTP와 HTTPS가 함께 노출되어 있다는 점은 외부 사용자가 웹 기반 서비스에 직접 접근할 수 있는 상태임을 의미한다.

이러한 개별 자산 분석은 단순히 ASUSTOR 관련 인증서가 존재한다는 수준을 넘어, 실제로 어떤 포트가 열려 있는지, 어떤 웹 서버가 응답하는지, 기본 페이지 또는 관리 페이지와 연관된 문자열이 노출되는지를 확인하는 데 활용된다. CVE-2026-6644는 관리자 인증 이후 악용되는 취약점이기 때문에, 공격자는 먼저 이와 같은 외부 노출 웹 서비스를 통해 ASUSTOR 자산을 식별하고, 이후 계정 탈취나 기본 계정 악용, 자격 증명 재사용 등을 통해 관리자 접근을 시도할 수 있다.

패치 현황 및 대응 방안

ASUSTOR는 CVE-2026-6644를 AS-2026-006 보안 권고로 공개하고, ADM 5.x 계열은 ADM 5.1.3.RGO1 이상, ADM 4.x 계열은 ADM 4.3.3.RSU1 이상으로 업데이트할 것을 안내하고 있다. 해당 취약점은 ADM 5.x 기준 2026년 4월 27일, ADM 4.x 기준 2026년 5월 4일 수정 버전이 공개되었다.

조직은 우선 ADM 펌웨어를 최신 버전으로 업데이트하고, 외부에 노출된 ADM 관리 인터페이스를 점검해야 한다. WAN에서 직접 접근 가능한 관리 페이지는 차단하거나 내부망 및 신뢰된 VPN을 통해서만 접근하도록 제한해야 한다. 또한 기본 관리자 계정, 약한 비밀번호, 불필요한 PPTP VPN Client 기능, 사용하지 않는 서비스와 포트도 함께 정리해야 한다.

이미 관리자 계정 침해가 의심되는 경우에는 ADM 관리자 계정, NAS에 저장된 인증서와 키 파일, 공유 폴더 권한, 외부 연결 설정, VPN 및 원격 접속 설정, 설치된 앱과 예약 작업까지 함께 점검해야 한다. NAS는 조직의 주요 데이터와 백업이 저장되는 장비인 만큼, 취약 버전 패치뿐 아니라 데이터 유출·백업 변조·지속성 확보 가능성까지 확인하는 대응이 필요하다.

FAQ

Q1. CVE-2026-6644는 인증 없이 바로 악용 가능한 취약점인가요?

아니요. CVE-2026-6644는 사전 인증 RCE가 아니라, 관리자 인증이 필요한 명령 주입 취약점입니다. 공격자는 먼저 ADM 관리 인터페이스에 관리자 권한으로 접근해야 합니다. 다만 기본 계정, 약한 비밀번호, 유출된 자격 증명, 외부 노출된 관리 페이지가 결합되면 실제 공격 가능성은 크게 높아질 수 있습니다.

Q2. 관리자 인증이 필요한데도 왜 Critical로 분류되나요?

인증 조건이 있더라도, 악용에 성공하면 root 권한으로 임의 명령을 실행할 수 있기 때문입니다. NAS 장비는 민감한 데이터와 백업 파일을 저장하는 경우가 많아, 장비 장악이 곧 데이터 탈취·랜섬웨어·내부 확산으로 이어질 수 있습니다. NVD는 CVSS 3.1 기준 9.1 Critical로 평가했으며, ASUSTOR는 CVSS 4.0 기준 9.4 Critical로 평가했습니다.

Q3. 어떤 버전이 영향을 받나요?

영향을 받는 버전은 ADM 4.1.0부터 ADM 4.3.3.RR42까지, 그리고 ADM 5.0.0부터 ADM 5.1.2.REO1까지다. ADM 5.x 사용자는 ADM 5.1.3.RGO1 이상으로, ADM 4.x 사용자는 ADM 4.3.3.RSU1 이상으로 업데이트해야 합니다.

결론

CVE-2026-6644는 NAS 관리 인터페이스 보안의 중요성을 다시 보여주는 사례다. 이 취약점은 사전 인증 RCE는 아니지만, 관리자 권한을 확보한 공격자가 제한된 웹 환경을 벗어나 NAS 운영체제에서 root 권한 명령을 실행할 수 있다는 점에서 매우 높은 위험도를 가진다. 특히 NAS는 단순한 보조 장비가 아니라 조직의 파일, 백업, 인증 정보, 업무 데이터가 장기간 축적되는 핵심 저장소다.

이번 취약점의 본질은 PPTP VPN Client 기능 하나의 입력값 검증 누락에 있다. 그러나 실제 보안 리스크는 그보다 넓다. 외부에 노출된 ADM 관리 인터페이스, 변경되지 않은 기본 계정, 지연된 펌웨어 업데이트, 불필요하게 활성화된 VPN 기능이 결합되면 단일 명령 주입 취약점은 NAS 전체를 장악하는 공격 경로로 확장된다.

따라서 대응의 출발점은 패치 적용만이 아니다. 먼저 인터넷에 노출된 ASUSTOR ADM 자산을 식별하고, 관리 인터페이스가 누구에게 열려 있는지 확인해야 한다. 이후 최신 펌웨어 업데이트, WAN 접근 차단, 관리자 계정 강화, 불필요한 서비스 비활성화, 로그 및 설정 변경 이력 점검을 함께 수행해야 한다.

NAS 보안은 저장 장치 자체의 문제가 아니라 조직 데이터 보호의 문제다. CVE-2026-6644는 외부에 노출된 관리 인터페이스와 취약한 설정이 결합될 때, 데이터 저장소가 공격자의 실행 환경으로 전환될 수 있음을 보여준다.

관련하여 CVE-2026-42208: LiteLLM AI 게이트웨이 표적 SQL 주입 취약점 글을 참고할 수 있다.

Criminal IP (criminalip.io/ko/register) 에 가입하면 즉시 취약 자산 탐지를 시작할 수 있습니다. 또한 아래 버튼을 통해 데모를 요청하고, 엔터프라이즈 환경에서 외부에 노출된 자산을 대상으로 한 Criminal IP의 위협 인텔리전스(TI) 분석을 직접 확인해 보세요.

이 리포트는 AI기반 사이버 위협 인텔리전스 검색엔진 Criminal IP의 데이터를 바탕으로 작성되었습니다. 지금 바로 Criminal IP 무료 계정을 생성하면 리포트에 인용된 검색 결과를 직접 확인하거나, 더 방대한 위협 인텔리전스를 자유롭게 검색할 수 있습니다.

출처: Criminal IP(https://www.criminalip.io/ko), NIST(https://nvd.nist.gov/vuln/detail/CVE-2026-6644), GitHub uky007 CVE-2026-6644(https://github.com/uky007/CVE-2026-6644), GitHub Advisory Database GHSA-32w9-6rwg-p96w(https://github.com/advisories/GHSA-32w9-6rwg-p96w)