FreeBSD 보안 권고 FreeBSD-SA-26:52.if_wg는 WireGuard 패킷의 메시지 인증 코드(MAC) 검증 누락을 수정했다고 밝혔다. 지원되는 모든 FreeBSD 버전이 영향을 받으며, 취약점 식별자는 CVE-2026-58085다.

FreeBSD의 WireGuard 커널 드라이버 wg(4)는 복호화 결과를 받은 뒤 MAC 검증이 성공했는지 확인하지 않았다. 이에 따라 유효하지 않은 인증 태그가 붙은 패킷을 받아들일 수 있었다. 원격 공격자는 수신자의 재전송 방지 창 범위를 추측할 수 있는 경우 터널에 위조되거나 변조된 데이터를 주입할 수 있다. FreeBSD 호스트로 향하는 WireGuard 패킷을 가로챌 수 있는 공격자는 수신자가 알아채지 못하게 암호문과 인증 데이터를 수정할 수 있다.

우회 방법은 없다. wg(4)를 사용하지 않는 시스템은 영향을 받지 않는다. FreeBSD 프로젝트는 수정 날짜 이후의 지원되는 stable 또는 release/security 브랜치로 업데이트한 뒤 시스템을 재부팅하라고 안내했다. 수정 사항은 15.1-STABLE, 15.1-RELEASE-p2, 15.0-RELEASE-p12, 14.4-STABLE, 14.4-RELEASE-p8에 반영됐다.

기본 시스템 패키지로 설치한 amd64 또는 arm64의 FreeBSD 15.0-RELEASE 이상은 pkg(8)로 업데이트할 수 있다.

# pkg upgrade -r FreeBSD-base
# shutdown -r +10min "Rebooting for a security update"

기본 시스템 패키지로 설치하지 않은 amd64 또는 arm64의 RELEASE 버전은 freebsd-update(8)을 사용한다.

# freebsd-update fetch
# freebsd-update install
# shutdown -r +10min "Rebooting for a security update"

소스 코드 패치로 수정하는 방법도 제공한다. 패치를 내려받은 뒤 PGP 서명을 확인하고 적용해야 하며, 커널을 다시 빌드한 다음 재부팅해야 한다. FreeBSD 15.x 패치와 서명 파일, FreeBSD 14.x 패치와 서명 파일을 제공한다. 커널 재빌드 방법은 FreeBSD 핸드북에서 확인할 수 있다.

자세한 내용은 CVE-2026-58085 기록과 최신 보안 권고를 참고하면 된다.