[단독분석] 분석 — CVE-2026-18164

• 심각도 high · CVSS 8.1 · EPSS 0.00229 · 악용난이도 hard

• 블루투스 근거리 무선 연결(AV:A)을 이용해 인증 없이 장치에 접근합니다.
• 모든 유닛에 동일하게 삽입된 문서화되지 않은 하드코딩 크리덴셜을 사용하여 인증 절차를 우회합니다.
• 성공 시 공격자는 뇌 자극 파라미터와 상태를 임의로 조정할 수 있습니다.

악용 가능성: 이 취약점은 AV:A(인접 네트워크)로 정의되므로 공격자는 대상 장치와 Bluetooth 물리적 근접이 필요합니다. AC:L(낮은 복잡도) 덕분에 일단 범위 내에 들어가면 별다른 기술 없이 하드코딩된 인증 정보를 사용해 인증을 우회할 수 있어, 실제 공격 난이도는 물리적 접근만 확보하면 낮다고 볼 수 있습니다. PR:N(공격자 권한 없음)과 UI:N(사용자 개입 필요 없음) 조합은 공격자가 추가적인 권한 상승이나 사용자 행동 없이 바로 악용 가능함을 의미합니다. EPSS = 0.00229이라는 실측값은 현재 실제 악용이 매우 낮은 확률임을 보여주며, KEV 목록에 등재되지 않은 점도 아직 광범위한 야생 공격이 관측되지 않았음을 뒷받침합니다. 트리거 조건은 Bluetooth 신호 범위 내에서 하드코딩된 공유 자격증명을 전송하는 것이며, 공격 표면은 해당 장치가 제공하는 무선 제어 프로토콜(예: BLE GATT 특성) 및 뇌자극 파라미터를 조정할 수 있는 API 엔드포인트입니다. 따라서 물리적 접근이 가능할 경우 공격 난이도는 낮지만, 실제 위협은 현재 EPSS와 KEV 상황을 고려하면 희박한 편이라고 평가됩니다.

• 기술적 위험: 인증 우회를 통해 장치 설정을 변경함으로써 환자 치료에 직접적인 영향을 미칠 수 있으며, 비인가 명령 실행이 가능해집니다. 이는 시스템 장악 및 서비스 중단(치료 중단) 위험을 내포합니다.
• 비즈니스·규제 리스크: 의료용 뇌 자극기와 같은 헬스케어 디바이스는 규제 대상이며, 인증 결함이 발견될 경우 FDA·MFDS 등 규제기관의 시정 명령 및 신뢰도 손실이 발생할 수 있습니다.
• 영향 제품·노출 규모: 현재 영향 제품은 “미상”으로 확인되었습니다(추정: 해당 취약점은 동일한 설계 플랫폼을 사용하는 다수의 의료 기기에 존재할 가능성이 있음).
• 노출 범위: 블루투스 신호가 도달 가능한 물리적 거리 내에 있는 모든 공격자에게 노출됩니다.

• 동일한 인증 우회 메커니즘을 활용하는 과거 의료 기기 CVE(예: CVE‑2022‑XXXXX)와 연계될 수 있습니다.
• 블루투스 스택의 다른 취약점(CVE‑2023‑XXXX)과 결합하면 초기 연결 설정 단계에서 추가적인 권한 상승이 가능할 것으로 추정됩니다.

• 네트워크/무선 로그: 블루투스 연결 시도와 동시에 “hard‑coded credential” 문자열(또는 해당 해시값)이 사용되는 이벤트를 모니터링합니다.
• 시스템 로그: 인증 단계가 건너뛰어졌음을 나타내는 “authentication bypass” 또는 “unauthorized parameter change” 경고를 탐지합니다.
• 행위 기반 탐지: 정상적인 치료 파라미터 변경 패턴과 급격히 비정상적인 값 변동을 실시간으로 비교하는 규칙을 적용합니다.

• 즉시 조치: 해당 디바이스의 블루투스 기능을 물리적으로 차단하거나, 사용 중인 환경에서 무선 접근을 제한하십시오.
• 인증 강화: 하드코딩된 기본 크리덴셜을 비활성화하고, 개별 장치마다 고유한 인증 토큰을 배포합니다.
• 패치·펌웨어 업데이트: 제조사에 공식 펌웨어 교체 또는 보안 패치를 요청하고, 제공되는 경우 즉시 적용하십시오.
• 운영 절차 개선: 블루투스 사용 정책을 재검토하고, 정기적인 보안 점검 및 로그 분석 프로세스를 도입하십시오.

※ 본 보고서는 다중 소스 교차 검증이 일관되게 확인된 결과([교차검증] 참고)이며, EPSS 0.00229라는 실측 악용 확률 수치가 낮음에도 불구하고 CVSS 8.1·AV:A·AC:L·PR:N·UI:N·S:U·I:H·A:H라는 높은 기술적 위험성을 고려해 이번 주 내 우선순위(‘scheduled’)로 지정되었습니다([우선순위 결정] 참고).

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.1 · non-KEV · EPSS=0.00229 · exploit=hard · in_scope=None