[단독분석] 분석 — CVE-2026-61884

• 심각도 critical · CVSS 9.8 · EPSS 0.00664 · 악용난이도 moderate

• 로그인 폼에 사용자명·비밀번호를 모두 빈 값으로 전송하면 서버‑사이드 검증이 이루어지지 않아 인증을 우회합니다.
• 성공 시 관리 세션이 부여되어 전원 릴레이, 장치 재부팅, 원격 접속 서비스 및 네트워크 설정 등을 임의로 조작할 수 있습니다.

악용 가능성: CVSS 벡터 AV:N/AC:L/PR:N/UI:N 은 공격자가 네트워크를 통해 별도의 권한이나 사용자의 동작 없이도 취약점에 접근할 수 있음을 의미하므로, 실제 공격 전제조건은 단순히 대상 장비의 웹 관리 인터페이스에 HTTP 요청을 보내는 것뿐입니다.
공격자는 로그인 화면에 사용자명과 비밀번호를 빈 값으로 제출하면 서버‑측 검증이 이루어지지 않아 인증 절차를 우회하고, 관리자 세션을 바로 획득할 수 있습니다.
인증 우회를 통해 얻은 세션은 전원 릴레이 제어, 장비 재부팅, 원격 접근 서비스 설정 및 네트워크 구성 등 모든 관리 기능에 대한 API·HTML 엔드포인트가 공격 표면으로 노출됩니다.
EPSS 값 0.00664(≈0.66 %)는 향후 12개월 내에 실제 악용이 발생할 확률을 보여주며, 이 수치는 ‘moderate’ 등급과 별개로 현실적인 위협 가능성을 뒷받침합니다.
KEV 리스트에 등재되지 않았다는 점은 현재까지 공개된 악용 사례가 없음을 의미하지만, 인증 우회라는 특성 자체가 동기 부여가 명확하고 자동화 공격에 적합하므로 위험도가 낮게 평가되지는 않습니다.
따라서 이

• 기술적 위험: 인증 우회를 통해 공격자는 관리자 권한을 획득하고, 전력 제어·재시작·네트워크 구성 변경 등 장치 전체를 원격으로 제어할 수 있습니다. 이는 서비스 중단 및 물리적 손상(예: 장비 과전류) 위험을 초래합니다.
• 비즈니스 영향:
  • 가용성 저하 – 전원 릴레이 조작이나 재부팅으로 인프라가 비정상적으로 정지될 수 있습니다.
  • 규제·컴플라이언스 위험 – 산업 제어 시스템(ICS) 환경에서 물리적 안전 요구사항을 위반할 가능성이 있습니다.
  • 신뢰도 손실 – 관리 인터페이스가 무단으로 조작되면 고객 및 파트너에게 미치는 신뢰도가 하락합니다.
• 영향 제품·노출 규모: 현재 확인된 영향 제품은 Tycon Systems TPDIN‑Monitor‑WEB2의 웹 관리 인터페이스이며, 해당 장비를 외부 네트워크에 직접 노출하거나 내부망에서도 접근 가능한 경우 모두 위험에 노출됩니다. (다중 소스에서 일관성이 확인됐음 – [교차검증]).

• 동일한 인증 우회 로직 결함을 가진 다른 웹 관리 UI(CVE‑2022‑XXXXX 등)와 연계될 경우, 초기 접근 후 추가 권한 상승이나 명령 실행 취약점과 체인될 가능성이 있습니다. (구체적 CVE 번호는 확인되지 않음).

• 로그 패턴: 로그인 요청(POST /login 등)에서 사용자명·비밀번호 필드가 모두 비어있는 경우 기록되는 이벤트를 모니터링합니다.
• 세션 생성: 인증 우회 후 관리 세션 쿠키(예: SESSIONID)가 정상적인 로그인 흐름 없이 발급된 사례를 탐지합니다.
• WAF/IPS 규칙: “username=='' && password==''” 형태의 요청을 차단하도록 설정하고, 차단 로그를 수집합니다.

• 즉시 조치: 웹 애플리케이션 방화벽(WAF)에서 빈 자격 증명 로그인 시도를 차단하고, 기존 관리 인터페이스에 IP 제한(허용된 관리자 IP) 정책을 적용합니다.
• 근본 해결: 공급업체가 제공하는 패치를 신속히 적용하거나, 자체적으로 서버‑사이드 입력 검증 로직을 추가해 빈 값이 허용되지 않도록 합니다.
• 추가 방어: 관리 인터페이스에 다중 인증(MFA) 도입 및 네트워크 레벨에서 VPN 등 안전한 접근 경로만 허용하도록 구성합니다.

본 보고서는 다중 소스 교차검증, 실측 EPSS(0.00664) 조회, 규칙 기반 우선순위 결정 결과를 종합하여 작성되었습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=9.8 · non-KEV · EPSS=0.00664 · exploit=moderate · in_scope=None