보안 브리핑 ›
lwIP MQTT 클라이언트 OOB 쓰기(CVE-2026-87121, CVSS 9.8) — 임베디드 펌웨어 전수 조사 대상
2026-09-23 15:01조회 3#CVE#ICS#취약점
CISA가 경량 TCP/IP 스택 lwIP의 MQTT 클라이언트 애플리케이션에서 out-of-bounds write(CWE-787) 취약점을 공지했다. CVE-2026-87121, CVSS v3.1 9.8이며 영향 범위는 2.0.1 이상 2.2.1 이하다. 공격이 성립하면 기기에서 코드 실행까지 간다. 수정은 upstream 저장소 커밋 f89407e에 반영돼 있다.
lwIP는 자체 제품 목록에 이름이 뜨지 않고 펌웨어 안에 정적 링크돼 들어가는 경우가 많아, 벤더 공지만 기다리면 누락되기 쉽다. SBOM이나 펌웨어 빌드 구성에서 lwIP 버전과 MQTT 클라이언트 사용 여부를 직접 확인해야 한다. 즉시 업데이트가 어려운 현장 설비는 CISA 권고대로 네트워크 노출 최소화와 제어망 분리로 임시 완화한다.