SpaceX Starlink 펌웨어 취약점 패치 완료 — 원격 명령 주입 공격 가능성 확인
독일 TUM 연구팀이 SpaceX Starlink Gen3 단말기 펌웨어에서 인증 없이 루트 권한 명령 실행이 가능한 원격 명령 주입(Remote Command Injection) 취약점(CVE-2026-31187)을 발견했으며, SpaceX는 보고 후 72시간 이내 OTA 패치 배포로 대응했다.
독일 뮌헨공과대학(TUM, Technische Universität München) 연구팀이 Starlink Gen3 사용자 단말기(UT, User Terminal) 펌웨어를 역공학(reverse engineering) 분석하던 중 관리 API 엔드포인트에서 심각한 보안 결함을 발견했다. 이 결함은 CVE-2026-31187로 공식 등록됐으며, 인증 절차 없이 셸 명령(shell command)을 실행할 수 있다는 점에서 위험도가 매우 높은 것으로 평가됐다.
공격자는 동일 서브넷(subnet) 내에 위치만 하면 특수하게 조작된 HTTP 요청 하나만으로 단말기의 루트(root) 권한으로 임의 명령을 실행할 수 있었다. 이를 통해 위성 링크 설정 무단 변경, 사용자 트래픽 도청, 단말기 강제 비활성화 등 다양한 공격이 이론상 가능한 상태였다. 취약점의 근본 원인은 단말기 관리 인터페이스의 입력 검증(input validation) 미흡으로, 외부 입력값이 시스템 명령으로 그대로 전달되는 전형적인 명령 주입 패턴에 해당한다.
파급력 측면에서 이 취약점은 특히 주목받았다. Starlink는 현재 전 세계 약 120개국에서 300만 개 이상의 단말기가 운용 중인 초대형 상업 위성 인터넷 인프라로, 취약점이 악용됐을 경우 단순한 개인 사용자 피해를 넘어 기업 네트워크, 원격지 통신 인프라, 나아가 군사 및 정부 기관 연결망에까지 영향을 미칠 수 있었다.
다행히 책임 있는 취약점 공시(Responsible Disclosure) 절차를 따라 연구팀은 2026년 5월 22일 SpaceX 보안팀에 해당 취약점을 사전 보고했다. SpaceX는 신속하게 대응하여 6월 3일 자동 OTA(Over-the-Air) 업데이트 방식으로 전 세계 배포 단말기에 패치를 완료했으며, 현재까지 이 취약점을 악용한 실제 피해 사례는 보고되지 않았다고 밝혔다.
연구팀은 이번 사례를 계기로 상업 위성 인터넷 단말기에 대한 보안 검증 의무화와 독립적 제3자에 의한 펌웨어 감사(firmware audit) 제도 도입을 촉구하는 권고문을 발표했다. 수백만 대의 단말기가 전 세계에 분산 운용되는 상업 위성 인터넷 생태계에서 단말기 보안은 더 이상 제조사의 자율에만 맡겨둘 수 없다는 지적이다.
이번 취약점은 우주 사이버보안의 핵심 과제가 위성체 자체에 그치지 않음을 다시 한번 상기시킨다. 지상에서 수백만 명의 사용자가 사용하는 위성 인터넷 단말기(UT) 역시 중요한 공격 표면(attack surface)이며, 지속적인 보안 모니터링과 신속한 패치 체계가 필수적이다. 특히 OTA 자동 패치가 광범위하게 배포된 인프라를 빠르게 방어할 수 있는 현실적인 수단임을 이번 사례는 증명했다.