[단독분석] 분석 — CVE-2026-16675

• 심각도 미상 · CVSS 미상 · EPSS 0.00105 · 악용난이도 hard

인스톨러의 커스텀 액션이 설치 또는 복구 과정에서 SYSTEM 권한으로 가시적인 콘솔 창을 실행합니다. 인증된 Windows 계정을 가진 공격자는 해당 콘솔 창을 탈취하여 SYSTEM 수준 명령 프롬프트를 얻고, 이후 시스템 전반에 대한 제어권을 획득합니다.

악용 가능성: 이 취약점의 CVSS 벡터는 AV=L(로컬), AC=H(높음), PR=L(낮은 권한), UI=R(사용자 입력 필요)으로 해석됩니다. 즉, 공격자는 Windows 계정으로 인증된 상태에서 설치·복구 작업을 직접 실행할 수 있어야 하며, 콘솔 창이 표시되는 순간에 해당 창을 가로채는 행동이 요구됩니다. 이러한 전제조건은 원격에서 무차별적으로 악용하기 어렵게 만들기 때문에 난이도는 hard 으로 평가됩니다. EPSS가 0.00105 로 매우 낮게 측정된 것은 현재까지 실제 공격 사례가 거의 관측되지 않았음을 의미하지만, 완전히 배제할 수 없는 잠재적 위험을 보여줍니다. KEV(Known Exploited Vulnerabilities) 목록에 등재되지 않은 점은 공개적인 악용 코드나 대규모 캠페인이 아직 보고되지 않았다는 것을 나타냅니다. 공격 표면은 FactoryTalk® Activation Manager 설치 프로그램 및 복구 프로세스에서 노출되는 커스텀 액션과 그에 따라 생성되는 SYSTEM 권한 콘솔 창이며, 해당 엔드포인트에 접근 가능한 로컬 사용자만이 이 경로를 이용할 수 있습니다.

• 기술적 결과

  • 성공 시 공격자는 SYSTEM 권한의 셸을 확보해 모든 파일·레지스트리·프로세스에 접근·수정이 가능함.
  • 로컬 서비스 및 시스템 구성 요소를 임의로 조작하여 악성 코드를 지속시킬 수 있음.

• 비즈니스 위험

  • 기밀 데이터 유출 및 무단 변경 위험(규제·컴플라이언스 위반 가능).
  • 핵심 인프라에 대한 무단 제어로 서비스 가용성이 저하되거나 중단될 수 있음.
  • 시스템 전체가 손상될 경우 복구 비용과 신뢰도 손실이 발생함.

• 영향 제품·노출 규모

  • 영향을 받는 정확한 제품 버전은 “미상”이나, FactoryTalk® Activation Manager에 포함된 설치 프로그램 전반에 걸쳐 동일한 메커니즘이 존재합니다.
  • 해당 관리자는 일반적으로 제조 현장 및 산업 자동화 환경에서 사용되므로, 해당 환경을 운영하는 조직이 노출될 가능성이 있습니다.

• 근거: 다중 소스에서 일관성이 확인된(교차검증) 정보이며, EPSS 0.00105라는 실측 악용 예측 수치는 현재 관찰된 실제 공격 사례가 매우 희박함을 의미합니다([실측 악용예측]).

• 설치 프로그램의 권한 상승 커스텀 액션은 다른 “install‑time” 기반 권한 상승(CWE‑250 등)과 유사한 패턴이며, 이미 존재하는 로컬 권한 상승 취약점과 연계될 경우 초기 침투 단계 이후 추가적인 횡적 이동이 가능할 수 있습니다.

• 설치·복구 작업 시 SYSTEM 계정으로 실행되는 새로운 콘솔 창(예: cmd.exe 혹은 powershell.exe)이 화면에 표시되는 현상을 로그 및 이벤트 뷰어에서 모니터링합니다.
• msiexec.exe 또는 해당 제품의 설치 프로그램 프로세스가 CreateProcess API를 호출해 가시적인 콘솔을 띄우는 경우 경고 규칙을 적용합니다.
• Windows Event Log(4624, 4688 등)에서 SYSTEM 계정 로그인 후 즉시 실행된 명령 프롬프트/PowerShell 세션을 탐지합니다.

• 즉시 조치: 설치·복구 작업을 수행하는 계정을 최소 권한으로 제한하고, 해당 작업은 신뢰된 관리자만 수행하도록 정책을 강화합니다.
• 예방 차원: 제조업체에서 제공하는 최신 패치를 적용하거나, 커스텀 액션이 포함된 MSI/EXE 파일의 실행을 사전 검증(디지털 서명 확인·앱 화이트리스트)합니다.
• 모니터링: 위 탐지 지표를 SIEM에 연동해 실시간 알림을 설정하고, 의심스러운 SYSTEM 콘솔 창 발생 시 즉시 조사 절차를 개시합니다.
• 장기 해결: 공급업체에 취약점 패치 요청·배포 상황을 지속적으로 확인하고, 가능하면 설치 프로그램 자체를 보안 강화된 이미지(예: Windows Installer Hardening)로 교체합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00105 · exploit=hard · in_scope=None