CISA 로크웰 산업제어 보안권고…RSLinx CVSS 8.6·Historian 원격실행 위험

미국 사이버보안·인프라보안국(CISA)이 9월 1일 로크웰 오토메이션의 산업제어 제품군에 대한 보안권고를 연이어 공개했다. RSLinx Classic의 서비스거부 위험, Historian ME의 장치 중단 및 원격코드실행 가능성, ControlLogix·CompactLogix 계열의 서비스 중단 위험이 포함됐다.

영향 제품과 위험 수준

• RSLinx Classic 4.50 이하: CVSS 8.6. 여러 정수·버퍼 처리 취약점을 악용하면 서비스거부 상태가 발생할 수 있다.
• Historian ME Series B 5.202, Series C 7.101: CVSS 8.0. 장치 충돌을 일으킬 수 있고 일부 범위초과 쓰기 취약점은 원격코드실행으로 이어질 가능성이 있다.
• ControlLogix 5580·GuardLogix 5580·CompactLogix 5380/5480 등: CVSS 7.5. 특정 버전 미만에서 무한 반복 상태를 유발해 서비스 중단으로 이어질 수 있다.

CISA는 이들 권고가 전 세계 중요 제조업과 화학, 식품·농업, 보건, 상하수도 분야에 영향을 줄 수 있다고 설명했다. 현재까지 해당 취약점을 직접 겨냥한 공개 악용 사례는 CISA에 보고되지 않았다고 밝혔다. ‘악용 없음’은 업데이트를 미뤄도 된다는 뜻이 아니라, 계획된 정비창에서 영향 분석과 패치를 서둘러야 한다는 신호다.

공장 보안 담당자의 점검 순서

1. 자산 목록에서 제품명뿐 아니라 정확한 펌웨어·소프트웨어 버전을 확인한다.
2. 제어장치와 관리 서버가 인터넷에 직접 노출됐는지 우선 점검한다.
3. 제어망을 업무망 뒤쪽 방화벽에 두고, 필요한 통신만 허용하도록 규칙을 검토한다.
4. 원격접속이 필요하면 최신 VPN과 다중인증을 사용하고 접속 장치의 보안 상태도 함께 확인한다.
5. 생산 중단 위험을 고려해 패치 전 영향 분석, 백업, 복구 시험과 롤백 절차를 준비한다.

산업제어 취약점은 일반 사무용 PC처럼 즉시 재부팅하고 패치하기 어렵다는 이유로 장기간 남기 쉽다. 그렇다고 ‘가동 중단이 두렵다’며 외부 노출과 망 연결을 방치하면 한 번의 장애가 생산·안전 문제로 확대될 수 있다. 이번 권고는 패치 여부만 묻지 말고 자산 식별, 망 격리, 원격접속 통제, 복구시험을 하나의 변경관리 절차로 묶어야 한다는 점을 보여준다.

관련 글

• 사이버보안의 새 기준 SBOM, 목록보다 갱신 속도가 중요하다
• KISA 모의침투 보안취약점 점검 안내
• 가짜 CAPTCHA TerminalFix 공격 대응

토론 질문: 생산 중단 없이 산업제어 패치를 검증할 별도 시험 환경과 정비창이 마련돼 있습니까?

공식 출처: CISA RSLinx Classic 권고 · CISA Historian ME 권고 · CISA ControlLogix 계열 권고