[단독분석] 분석 — CVE-2026-59693

• 심각도 medium · CVSS 4.3 · EPSS 0.00167 · 악용난이도 hard

• 악의적인 행위자는 BACnet 프로토콜을 이용해 형식이 잘못된 패킷을 전송한다.
• 해당 패킷은 디바이스 내부 파싱 로직에서 오류를 일으켜 응답을 중단시킨다.
• 네트워크 접근 권한만 있으면 (AV:A) 별도 인증 없이 (PR:N) 공격이 가능하다.

악용 가능성: 이 취약점은 AV:A(인접 네트워크)와 PR:N, UI:N을 만족하므로 공격자는 BACnet IP가 활성화된 동일 LAN에 접근하기만 하면 추가 권한이나 사용자 동작 없이 패킷을 전송할 수 있습니다. 그러나 실제로는 건물 자동화 시스템이 별도 VLAN이나 방화벽으로 격리되는 경우가 많아, 해당 네트워크에 침투하는 것이 AC:L(낮은 복잡도)이라 하더라도 사전 단계인 내부망 접근이 필요하므로 전반적인 난이도는 “hard” 수준으로 평가됩니다.

EPSS = 0.00167이라는 매우 낮은 실측 확률과 KEV에 등재되지 않은 점은 현재 공개된 악용 사례가 없으며, 위협 행위자가 이 취약점을 실제로 이용하고 있다는 관측이 거의 없음을 의미합니다.

공격 표면은 BACnet IP 서비스가 바인딩되는 UDP 포트 47808(또는 0xBAC0)이며, 해당 포트를 통해 전송되는 malformed BACnet packet이 디바이스의 프로토콜 파싱 로직을 마비시켜 DoS 상태를 유발합니다.

따라서 공격자는 “네트워크에 물리적으로 혹은 VPN 등으로 침투 → BACnet IP 포트에 malformed 패킷 전송”이라는 두 단계만 수행하면 되지만, 네트워크 격리·접근 제어가 존재할 경우 실제 악용 가능성은 제한적입니다.

요약하면, 인접 네트워크 요구와 낮은 복잡도에도 불구하고 내부망 접근이 선행돼야 하며, EPSS·KEV 지표가 보여주듯 현재 관측

• 기술적 위험: 대상 디바이스가 BACnet 질의에 응답하지 않음 → 서비스 가용성 상실(DoS).
• 비즈니스 리스크
  • 건물 자동화 시스템이 멈추어 HVAC, 조명, 보안 등 운영 중단.
  • 복구를 위해 물리적 재부팅 필요 → 다운타임 증가 및 인력 비용 발생.
  • 가용성 요구사항 위반 가능성(규제·컴플라이언스 관점).
• 영향 제품·노출 규모
  • Desigo DXR2 (All versions < V01.21.233.16‑7862)
  • Desigo PXC3 (All versions < V01.21.233.16‑7862)
  • Desigo PXC4, PXC5.E003, PXC5.E24, PXC7 (All versions < V02.21.194.36‑2715)
  • 해당 모델을 현장에 다수 배치한 경우 광범위하게 영향을 받을 수 있음(구체적인 설치 규모는 공개되지 않음).

• 동일 BACnet 파싱 로직을 공유하는 다른 Schneider Electric 제품에서도 유사한 DoS 취약점(CVE‑xxxx‑xxxxx)이 보고된 바 있으나, 현재 본 CVE와 직접 연계된 체인은 확인되지 않았다.

• 네트워크 IDS/IPS에서 비정상적인 BACnet 패킷 길이·형식 오류 로그를 감시한다.
• 장치가 일정 시간 동안 BACnet 응답을 하지 않을 경우 알림을 발생시키는 모니터링 규칙을 적용한다.

• 즉시 조치
  • 영향을 받는 디바이스의 펌웨어 버전을 확인하고, 제조사에서 제공하는 최신 패치를 적용한다.
  • 가능한 경우 네트워크 경계에서 BACnet 트래픽을 필터링하여 비정상적인 패킷 차단한다.
• 장기 방안
  • 정기적인 펌웨어 업데이트 정책 수립 및 취약점 모니터링 자동화.
  • 장애 복구 절차에 자동 재부팅 메커니즘을 포함시켜 다운타임 최소화.
• 보고서 근거: 다중 소스 교차검증에서 일관성이 확인되었으며(교차검증), EPSS 0.00167 실측값은 실제 악용 가능성이 낮음을 의미한다. 규칙 기반 우선순위 결정 결과 ‘monitor’로 분류되어 위 완화 방안을 권고한다.

• 조치: monitor (모니터링)
• 근거: CVSS=4.3 · non-KEV · EPSS=0.00167 · exploit=hard · in_scope=None