---
title: "dnsmasq에 심각한 보안 취약점 6개 공개, 2.92rel2 패치 릴리스 나옴"
published: 2026-05-12T18:12:28.000Z
canonical: https://jeff.news/article/2669
---
# dnsmasq에 심각한 보안 취약점 6개 공개, 2.92rel2 패치 릴리스 나옴

dnsmasq 관리자가 2026년 5월 11일 CERT를 통해 심각한 취약점 6건을 공개했고, 현재 안정 버전 2.92에 패치를 적용한 2.92rel2를 냈다. 오래된 버그들이라 아주 낡은 버전을 제외한 대부분의 dnsmasq 배포판에 영향을 줄 수 있고, 벤더에는 사전 공유가 끝난 상태다. 관리자는 AI 기반 보안 리포트가 폭증하면서 긴 엠바고보다 빠른 수정과 릴리스가 더 중요해졌다고 보고 있다.

- dnsmasq에 심각한 보안 취약점 6개가 한 번에 공개됨
  - 공개일은 2026년 5월 11일이고, CERT가 CVE 세트를 릴리스함
  - 관리자인 Simon Kelley는 이 버그들이 “오래전부터 있던 버그”라서 아주 낡은 버전을 제외하면 대부분의 dnsmasq 버전에 적용될 수 있다고 설명함

- 패치된 안정 버전은 `2.92rel2`로 나왔고, 개발 브랜치에도 수정 커밋이 올라갈 예정임
  - 현재 안정판 2.92에 해당 패치를 백포트한 릴리스가 만들어졌음
  - 개발 트리 쪽 수정은 일부는 같은 패치를 쓰지만, 일부는 근본 원인을 건드리는 더 큰 재작성 형태라고 함

> [!WARNING]
> dnsmasq는 공유기, 리눅스 서버, 임베디드 장비에서 DNS/DHCP 역할로 깔려 있는 경우가 많음. 직접 설치한 기억이 없어도 배포판 패키지나 장비 펌웨어 업데이트를 확인하는 게 맞음.

- 이번 공지에서 제일 흥미로운 대목은 취약점보다 “AI 기반 보안 리포트 쓰나미”임
  - 관리자는 지난 몇 달 동안 버그 리포트를 처리하고, 중복을 걸러내고, 어떤 건 벤더 사전 공개로 보낼지 판단하는 데 많은 시간을 썼다고 함
  - “중복이 너무 많다”는 표현까지 나올 정도라, AI가 취약점 탐색의 물량전을 이미 현실로 만든 셈

- 긴 엠바고가 점점 덜 의미 있어진다는 판단도 나옴
  - 같은 버그를 “좋은 사람들”이 여러 번 찾았다면 “나쁜 사람들”도 찾을 수 있다고 보는 게 합리적이라는 얘기임
  - 엠바고 조율, 백포트 제공, 벤더 커뮤니케이션에 드는 시간과 비용도 너무 커졌다고 함

- 그래서 dnsmasq 쪽 우선순위는 “완벽한 조율”보다 “앞으로의 릴리스를 최대한 빨리 깨끗하게 만들기”에 가까움
  - 최근 몇 주 동안 저장소에 보안 수정 커밋이 많이 올라간 것도 이 흐름 때문
  - 곧 `dnsmasq-2.93rc1` 태그를 찍고, 운이 좋으면 약 1주 안에 2.93 안정판을 내는 게 목표라고 함

- 운영자 입장에서는 배포판 패키지 업데이트를 기다리되, 노출된 환경은 더 적극적으로 확인해야 함
  - 벤더에는 이미 사전 공개가 됐기 때문에 주요 배포판 패치가 순차적으로 나올 가능성이 큼
  - 특히 dnsmasq가 외부 입력을 받는 네트워크 경계, 사내 개발망, IoT/임베디드 장비에 들어가 있다면 업데이트 경로를 바로 확인하는 게 좋음

---
## 기술 맥락

- dnsmasq가 민감한 이유는 DNS와 DHCP처럼 네트워크의 기본 동선을 잡는 컴포넌트이기 때문이에요. 앱 서버 하나의 취약점과 달리, 네트워크 설정을 나눠주거나 이름 해석을 처리하는 위치에 있어서 장애나 공격 영향이 넓게 퍼질 수 있거든요.

- 이번 대응에서 눈에 띄는 건 백포트와 개발 브랜치 수정이 분리됐다는 점이에요. 안정판에는 당장 적용 가능한 패치를 넣고, 개발 트리에는 더 근본적인 재작업을 넣는 식인데, 운영 중인 배포판을 깨지 않으면서 장기 품질도 잡으려는 전형적인 오픈소스 보안 대응이에요.

- 관리자가 엠바고를 짧게 보려는 이유도 현실적이에요. AI 기반 분석으로 같은 취약점 리포트가 여러 번 들어오는 상황이면, 소수만 알고 있다는 전제가 약해져요. 그러면 긴 비공개 조율보다 빠른 릴리스와 배포판 업데이트가 실제 방어에 더 도움이 될 수 있어요.

- 한국 개발팀도 이 이슈를 단순히 “리눅스 패키지 하나 업데이트”로 보면 안 돼요. 사내 라우터, 개발 장비, 테스트베드, 컨테이너 이미지, 임베디드 제품 펌웨어 안에 dnsmasq가 숨어 있을 수 있어서 자산 기준으로 확인해야 해요.

## 핵심 포인트

- CERT가 dnsmasq 관련 심각한 CVE 6건을 공개했고 2.92rel2 패치 릴리스가 배포됨
- 취약점은 오래전부터 존재한 버그라 대부분의 비고대 버전에 영향 가능성이 있음
- AI 기반 보안 연구로 중복 리포트와 취약점 제보가 폭증해 관리 부담이 커짐
- 관리자는 dnsmasq 2.93 안정판을 약 1주 안에 내는 것을 목표로 하고 있음

## 인사이트

dnsmasq는 라우터, 임베디드 장비, 리눅스 서버에서 DNS와 DHCP를 조용히 맡는 경우가 많아서 ‘작은 유틸’로 넘기기 어렵다. 이번 공지는 취약점 자체만큼이나 AI가 오픈소스 보안 유지보수 방식을 얼마나 빠르게 흔들고 있는지를 보여준다.