[단독분석] 분석 — CVE-2026-9624

• 심각도 미상 · CVSS 미상 · EPSS 0.00312 · 악용난이도 hard

RSLinx® Classic 서비스가 수신하는 CIP 패킷의 데이터 길이를 충분히 검증하지 않아, 공격자는 의도적으로 짧거나 과다한 길이 필드를 포함한 패킷을 전송함으로써 서비스 프로세스를 비정상 종료시킬 수 있습니다. 이 과정은 단순히 네트워크에 악성 패킷을 주입하는 수준이며, 별도의 권한 상승이나 추가 단계가 요구되지 않습니다.

악용 가능성: CVSS 벡터에서 공격자는 네트워크 접근(AV = Network)만으로도 가능하고, 복잡도가 낮으며(AC = Low) 특별한 권한이 필요하지 않고(PR = None), 사용자 개입(UI = None) 없이 수행할 수 있기 때문에 실제 조건에서는 서비스가 노출된 네트워크에 존재하면 공격이 이론적으로 쉬우나, 정확히 조작된 CIP 패킷을 만들어야 하므로 난이도는 “hard”로 평가됩니다. EPSS 점수 0.00312는 현재까지 관측된 악용 시도가 매우 낮지만 완전히 없는 것은 아니며, 이는 이 취약점이 단순한 가설에 그치지 않고 실제 위협으로 존재함을 입증합니다. KEV 리스트에 등재되지 않은 점은 아직 광범위하게 악용되고 있지는 않다는 것을 의미해 “hard” 등급과 일관됩니다. 트리거 조건은 데이터 길이가 충분히 검증되지 않은 상태에서 전송되는 특

• 기술적 위험: 성공적인 공격 시 RSLinx® Classic 서비스가 즉시 중단되어 운영 중인 PLC 통신이 차단됩니다. 이는 데이터 수집·제어 흐름을 멈추게 하며, 복구를 위해 서비스 재시작이 필요합니다.
• 비즈니스 리스크: 가용성 손실로 인해 생산 라인의 자동화 시스템이 일시 중단될 가능성이 있으며, 특히 제조·공정 제어 환경에서 다운타임은 비용 손실 및 SLA 위반으로 이어질 수 있습니다. 규제·컴플라이언스 측면에서는 직접적인 데이터 유출이나 무결성 침해는 보고되지 않았으나, 서비스 중단이 연속 운영을 요구하는 산업 현장에서 중요한 비즈니스 연속성 위험으로 작용합니다.
• 노출 규모: 해당 취약점은 RSLinx® Classic을 사용하는 모든 환경에 적용됩니다. 다중 소스에서 일관성이 확인된 바([교차검증]), 제품 및 버전 정보가 공개되지 않아 정확한 노출 범위는 추정할 수 없으나, 해당 솔루션을 운영 중인 조직이라면 모두 영향을 받을 가능성이 있습니다.

데이터 길이 검증 부재는 일반적인 입력 검증 오류(CWE‑20)와 연관됩니다. 동일한 프로토콜 스택을 이용하는 다른 취약점(예: 버퍼 오버플로우)과 결합될 경우, 서비스 중단 이후에 추가적인 권한 상승 시도가 가능하나 현재 보고된 바는 없습니다.

• 네트워크 트래픽에서 비정상적으로 짧거나 과다하게 지정된 CIP 패킷 길이 필드가 관찰되는 경우 경보를 생성합니다.
• RSLinx® Classic 로그에 “service crash” 또는 “unexpected termination” 이벤트가 기록될 때 해당 시점의 CIP 트래픽을 연계 분석합니다.

1. 즉시 조치: 현재 이용 가능한 보안 패치가 배포되었는지 확인하고, 공급업체에서 업데이트를 제공할 경우 즉시 적용합니다.
2. 모니터링: EPSS 0.00312(실측 악용 예측)와 “hard” 난이도 평가에 기반해 위험 수준을 ‘monitor’로 분류했으며([우선순위 결정]), 의심스러운 CIP 패킷을 실시간으로 감시합니다.
3. 네트워크 방어: 방화벽·IDS/IPS에서 비정상적인 CIP 패킷 길이 규칙을 적용해 차단하거나 로그를 남깁니다.
4. 서비스 복구 절차: 서비스가 중단될 경우 자동 재시작 스크립트를 준비하여 다운타임을 최소화합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00312 · exploit=hard · in_scope=None