Grandstream GXP1600 VoIP 전화기 ‘무인증 원격 코드 실행’ 취약점 공개…보스턴 중소사업장, 1.0.7.81 미만은 업데이트로 수정 필요
보스턴 지역 소규모 사업장(레스토랑·카페·사무실 등)에서 흔히 쓰이는 Grandstream GXP1600 시리즈 VoIP 데스크폰에서, 인증 없이 원격 코드 실행(RCE)이 가능하다고 보고된 취약점(CVE-2026-2329)이 공개됐다. 보안업계 설명에 따르면 공격자는 취약한 단말을 원격으로 장악해 루트(root) 권한을 얻을 수 있으며, 단말에 저장된 로컬 계정·SIP 계정 자격증명 탈취, 통화 흐름 변경·가로채기(도청 포함) 같은 2차 피해로 이어질 가능성이 있다.
이번 이슈는 GXP1610·GXP1615·GXP1620·GXP1625·GXP1628·GXP1630 등 GXP1600 계열 6개 모델이 대상이며, ‘펌웨어 1.0.7.81 미만 버전’이 영향 범위로 언급된다. 벤더는 1.0.7.81 펌웨어에서 해당 문제를 수정(패치)한 것으로 알려져, 영향을 받는 환경이라면 1.0.7.81 이상으로 업데이트하는 방식이 정면 대응이다.
공격이 성립하려면 전제조건이 있다. 공격자는 전화기의 웹 기반 HTTP API 엔드포인트에 ‘네트워크로 도달’할 수 있어야 하며, 기본 설정에서 해당 API가 인증 없이 접근 가능한 구성이 될 수 있다는 점이 핵심이다. 다시 말해, 인터넷에 직접 노출된 경우뿐 아니라 같은 내부망(또는 내부망에 발판을 마련한 이후)에서 관리 인터페이스로 접근 가능한 경우에 위험이 커질 수 있다.
Rapid7은 악용 시나리오로 “단말을 장악한 뒤 SIP 설정을 공격자 인프라(악성 SIP 프록시)로 바꿔, 통화를 겉보기엔 정상으로 연결하면서도 중간에서 투명하게 가로채는 방식”을 제시했다. 이는 ‘전화 자체가 보안 사각지대가 되기 쉬운’ 운영 현실과 맞물릴 때 파급이 커질 수 있다.
보스턴 한인 커뮤니티에서 특히 점검 우선순위가 올라가는 구간은 두 가지다. (1) 원격 관리를 위해 전화기 웹 관리 화면을 외부에서 보이게 설정했거나(포트포워딩 포함), (2) 내부망이 단말·업무 PC·서버·POS가 뒤섞여 있어 한 장비가 뚫리면 옆으로 확장(pivot)하기 쉬운 구조인 경우다.
예를 들어, 매장(레스토랑/카페)에서 본점·지점이 같은 VoIP 계정을 공유하고, IP 전화기의 웹 관리 화면이 매장 와이파이나 특정 포트 개방으로 접근 가능한 상태를 가정해보자. 공격자가 전화기 한 대를 먼저 장악할 경우 (1) 같은 SIP 계정 재사용을 발판으로 다른 지점 설정까지 노리거나, (2) 예약·거래처·인사 관련 통화의 내용을 수집하거나, (3) 내부망 다른 장비로 이동하는 경로를 만들 가능성이 거론된다. 다만 실제 악용 난이도와 환경 의존성이 있어, ‘즉시 자동 대규모 확산’처럼 단정하기보다는 노출면을 줄이면서 패치를 적용하는 접근이 현실적이다.
현장에서 빠르게 정리할 수 있는 점검·조치 순서는 다음과 같다.
- 영향 여부 확인(인벤토리)
- 매장/사무실 데스크폰 모델이 GXP16xx인지 확인하고, 관리 화면 또는 장비 라벨로 현재 펌웨어 버전을 기록한다.
- 펌웨어가 1.0.7.81 미만이라면 영향 가능성이 있는 범주로 보고, 업데이트 일정을 잡는다.
- 펌웨어 업데이트로 수정(패치) 적용
- 벤더가 제공한 1.0.7.81(또는 그 이상)으로 업데이트를 우선 검토한다.
- 영업시간 외에 단계적으로 적용하고, 업데이트 전후로 수발신·보류/전환·벨/알림 등 기본 통화 동작을 짧게라도 테스트한다.
- 관리 인터페이스 노출 최소화
- 전화기 웹/HTTP 관리 포트를 인터넷에 직접 노출하지 않도록 설정을 재검토한다.
- 원격 관리가 꼭 필요하다면, 단말을 직접 공개하기보다 VPN 등을 통해 내부에서만 접근하도록 설계를 바꾸는 방식을 고려한다.
- 망분리·접근제어로 피해 반경 축소
- 가능하면 VoIP 단말 VLAN을 분리하고, 전화기가 POS/업무 PC/서버 구간과 불필요하게 통신하지 못하도록 방화벽 규칙을 최소 권한으로 조정한다.
- 자격증명 재설정 및 재사용 점검
- SIP 계정 비밀번호와 전화기 관리자 비밀번호를 변경하고, 지점 간 ‘한 계정 공유’ 같은 재사용 패턴이 있는지 점검한다.
- 이상 징후 모니터링(운영 관점)
- 통화 내역에서 비정상적인 국제전화/야간 통화 증가, 착신전환 설정 변화, SIP 등록(REGISTER) 이벤트 변동 등을 PBX/통신사 로그로 확인한다.
이번 사안은 ‘전화’가 업무 필수 인프라인 만큼, 운영 편의 때문에 업데이트와 노출 관리가 뒤로 밀리기 쉽다는 점을 다시 보여준다. 스타트업·로펌/회계·부동산·의료/클리닉처럼 민감 통화가 잦은 조직이라면, 장비 업데이트 주기와 네트워크 노출 정책을 정기 점검 항목으로 넣어두는 편이 리스크 관리에 도움이 된다.