취약점 66건 새로 확인…지멘스 일부 제품은 패치 계획 없어

포어스카우트(Forescout) 연구진이 시판 AI 모델을 활용해 TCP/IP 스택에서 새 취약점 66건을 확인했다. 지멘스(Siemens, $SIEGY)는 관련 결함이 영향을 미친 일부 건물 자동화 제품에 현재 수정 계획이 없다고 밝혔다.

포어스카우트는 12일 공개한 연구 보고서에서 산업·의료·네트워크 장비 등에 쓰이는 TCP/IP 스택 10종을 분석했다고 밝혔다. TCP/IP 스택은 기기가 네트워크로 데이터를 주고받게 하는 통신 소프트웨어다.

연구진은 취약점 99건을 확인했다. 이 가운데 33건은 기존에 알려진 취약점을 다시 찾아낸 것이고, 66건은 새로 발견한 문제다. 신규 취약점의 52%는 심각도가 ‘높음’ 또는 ‘치명적’으로 분류됐다.

연구 대상 10종 가운데 7종은 이전에 분석한 소프트웨어였고, 3종은 새로 분석한 대상이었다. 연구진은 신규 취약점 가운데 최신 제품 버전에도 문제가 남아 있다고 판단한 54건을 제조사나 유지관리자에게 신고했다.

이번 연구에서 AI가 혼자 취약점을 확정한 것은 아니다. 연구진은 정적 분석과 AI 추론으로 후보를 추린 뒤 동적 분석으로 검증했다. 정적 분석은 코드를 실행하지 않고 살피는 방식이며, 동적 분석은 실제로 실행해 동작을 확인하는 방식이다.

처음 나온 후보 362건은 중복을 제거한 뒤 312건으로 줄었고, 최종 확인된 취약점은 99건이었다. 스택별로 후보가 실제 취약점으로 확인된 비율은 11~70%였다. 후보 수와 최종 취약점 수는 서로 다른 집계다.

AI를 활용한 분석에는 약 10시간, 동적 검증에는 약 80시간이 들었다. 포어스카우트는 두 작업에 걸린 시간을 합해 약 90시간으로 제시했다.

포어스카우트는 이번 연구에 든 시간과 과거 수동 분석에 걸린 9개월을 비교했다. 과거 연구는 TCP/IP 스택 14종을 여러 단계에 걸쳐 분석한 반면 이번 연구는 10종을 한 차례 분석했다. 같은 대상을 같은 조건에서 비교한 결과로 보기는 어렵다.

연구진은 메모리 안전성 문제를 찾는 데 AI 보조 분석이 효과적이었지만, 구현별 논리·설계 결함은 놓칠 수 있다고 설명했다.

보고서 공개 당시 신고된 54건 가운데 24건은 수정됐고 29건은 제조사가 조사 중이었다. 오픈소스 Ethernut의 취약점 1건은 유지관리자의 답변을 받지 못했다. 소프트웨어 수정 여부와 실제 사용 중인 장비의 업데이트 적용 여부는 별도로 확인해야 한다.

지멘스는 10월 13일 보안 공지에서 Nucleus NET 취약점의 영향 제품과 대응 방안을 공개했다. 포어스카우트 보고서는 Nucleus NET 취약점 5건을 수정된 것으로 분류했지만, 지멘스가 밝힌 완제품별 대응은 달랐다.

지멘스는 일부 APOGEE PXC와 TALON 제품에 업데이트를 제시했다. 구형 APOGEE MBC·MEC와 일부 Desigo PXC·PXM 제품에는 현재 수정 계획이 없다고 밝혔다.

CVE-2026-102073부터 CVE-2026-102076까지는 FTP·웹 서비스를 비활성화하라고 권고했다. 해당 제품군에서는 이 서비스가 기본적으로 꺼져 있다고 지멘스는 덧붙였다. CVE-2026-89208에는 장비를 다른 네트워크와 분리하고 방화벽·게이트웨이를 설정하는 방안을 제시했다.

포어스카우트는 단종된 무선 액세스포인트에 내장된 스택 ‘S1’에서도 새 취약점 7건을 찾았다. 여기에는 펌웨어 업로드 과정의 버퍼 오버플로와 변경할 수 없는 관리자 비밀번호가 포함됐다. 제조사는 폐업한 상태다.

연구진은 패치할 수 없는 장비를 필요한 통신만 허용하는 별도 네트워크로 분리하고, 수정본이 나온 장비에는 업데이트를 신속히 적용하라고 권고했다. 소프트웨어에 수정이 반영됐더라도 운영 중인 장비에 업데이트가 설치됐는지는 따로 확인해야 한다.