CVE-2026-90847 (ipTIME C200E OS 명령 주입) 분석

임베디드 네트워크 장비의 관리 CGI가 사용자 입력을 셸(shell)에 그대로 흘려보내면, 인증된 관리자 화면 하나가 곧 웹 서버 프로세스 권한의 원격 명령 실행 통로가 됩니다. 이번 CVE-2026-90847은 EFM Networks의 ipTIME C200E(제조사 분류상 IP 카메라) 펌웨어 1.094에서, 시스템 설정 처리를 담당하는 `iux_set.cgi`가 바로 그 실수를 저지른 사례로 보고되었습니다. 공개 시점 기준 확인된 수정 펌웨어는 없고, 개념 증명(PoC, Proof-of-Concept)은 이미 외부에 공개된 상태입니다.