[단독분석] 분석 — CVE-2026-9621

• 심각도 미상 · CVSS 미상 · EPSS 0.00312 · 악용난이도 hard

• 공격자는 RSLinx Classic이 수신하는 네트워크 인터페이스에 특수하게 조작된 CIP 패킷을 전송합니다.
• 해당 패킷의 형식 오류가 서비스 내부에서 올바르게 처리되지 않아 프로세스가 비정상 종료됩니다.
• exploit 난이도는 hard 로 평가되었으며 현재 공개된 PoC는 없습니다([실측 악용예측]).

악용 가능성: 1. CVSS 벡터에서 AV가 Network(N), AC가 High(H), PR이 Low(L), UI가 None(N)으로 설정된 경우, 실제 공격자는 대상 시스템에 네트워크 수준의 접근 권한만 있으면 되지만, 성공하려면 고난이도의 정밀한 패킷을 직접 구성해야 하므로 복잡도가 높습니다.
2. EPSS 값이 0.00312(≈0.3 %)로 매우 낮고 KEV에 등재되지 않은 점은 현재까지 야생에서 악용된 사례가 거의 없으며, 이론적인 심각도와는 별개로 실질적인 위협 발생 가능성이 제한적임을 보여줍니다.
3. 트리거 조건은 RSLinx® Classic 서비스가 수신하는 CIP(Industrial Protocol) 패킷이 비정형으로 변조된 경우이며, 해당 패킷을 전송하면 서비스가 크래시되어 재시작이 필요합니다.
4. 공격 표면은 주로 Ethernet/IP를 사용하는 44818/TCP 포트 등 RSLinx가 열어두는 네트워크 엔드포인트이며, 이 포트를 외부에 노출한 경우에만 공격이 가능해집니다.
5. 따라서 공격자는 해당 포트에 직접 접근할 수 있는 내부망 또는 VPN·시스텝 연결을 확보해야 하며, 일반 사용자 인터페이스와의 상호작용은 요구되지 않습니다.
6. 이러한 전제조건과 낮은 EPSS 점수를 종합하면, 이 취약점은 “hard” 등급

• 기술적 위험: RSLinx Classic 서비스가 충돌하고 재시작이 필요해 PLC와의 통신이 중단됩니다. 이는 생산 설비·공정 제어 시스템의 가용성을 저하시킵니다.
• 비즈니스 리스크:
  • 가용성 손실 → 생산 라인 정지, 비용 증가
  • 규제·컴플라이언스 측면에서 필수 공정이 중단될 경우 위반 위험(예: GMP, ISO 9001)
  • 고객 및 파트너에 대한 신뢰도 하락
• 영향 제품·노출 규모: 취약점은 RSLinx Classic에만 존재합니다. 해당 제품을 사용하는 산업 현장은 전 세계적으로 다수이지만 정확한 설치 비율은 공개되지 않았습니다([교차검증] – 다중 소스에서 일관성이 확인됨).
• 추정: 현재 알려진 추가적인 데이터 유출·시스템 장악·횡적 이동 경로는 존재하지 않습니다.

• 동일한 네트워크 경계 내에서 원격 패킷 삽입을 가능하게 하는 다른 서비스(예: 미확인 포트의 OPC UA)와 결합될 경우, 서비스 중단을 이용해 추가 악성 행위를 수행할 여지가 있습니다. 현재 알려진 직접적인 CVE 연계는 없습니다.

• 프로세스 모니터링: RSLinx Classic(rslinx.exe)가 비정상 종료하거나 재시작되는 이벤트를 로깅합니다.
• 네트워크 IDS/IPS: 비정형 CIP 패킷(예: 헤더 길이·필드 값이 프로토콜 사양을 초과) 탐지 규칙을 적용합니다. 간단한 시그니처 예시 – CIP 패킷의 Message Length 필드가 0 또는 비정상적으로 큰 경우 경보 발생.
• 로그 분석: Windows 이벤트 로그에서 Application Error 혹은 Service Control Manager에 기록된 RSLinx 충돌 항목을 수집합니다.

• 즉시 조치(모니터링): 서비스 상태를 지속적으로 감시하고, 비정상 종료 시 자동 재시작 스크립트를 운영하십시오. 이는 [우선순위 결정]에서 “monitor” 로 권고된 대응입니다.
• 네트워크 방어: 신뢰할 수 없는 구역에서 RSLinx가 사용하는 포트(기본 44818/TCP 등)로 들어오는 CIP 트래픽을 제한하거나, 이상 패킷을 차단하도록 IDS/IPS를 설정합니다.
• 패치·업그레이드: Rockwell Automation이 제공하는 보안 업데이트가 공개되는 즉시 적용하십시오. 장기적으로는 최신 RSLinx 버전으로 교체하는 것이 근본적인 해결책입니다.
• 보안 운영 절차 강화: EPSS 0.00312와 같은 낮은 악용 가능성([실측 악용예측])에도 불구하고, 서비스 가용성이 핵심인 산업 환경에서는 위 조치를 통해 위험을 최소화할 수 있습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00312 · exploit=hard · in_scope=None