Siemens Software Center의 CVE-2026-110936은 DLL 검색 경로를 제어하지 않아 발생하는 사이드로딩 결함입니다. 벤더가 실제 악용을 직접 확인했고 CISA의 알려진 악용 취약점(KEV) 카탈로그에 등재됐습니다. 즉 개념 증명 단계의 주의 알림이 아니라, 악용이 인정된 상태의 경고입니다. 이 글은 확인된 사실과 아직 확인되지 않은 전제를 분리하고, Software Center를 운용하는 조직이 어떤 조건으로 점검 범위를 좁히고 어떤 순서로 대응해야 하는지 정리합니다.
개요
CISA는 Known Exploited Vulnerabilities 카탈로그에서 CVE-2026-110936을 Siemens Software Center의 제어되지 않은 검색 경로 요소(uncontrolled search path element) 취약점으로 안내합니다. Siemens ProductCERT는 같은 CVE를 DLL 사이드로딩 취약점으로 명시하고, 4.0.9.8 버전에서 약점을 수정했다고 밝혔습니다.
- Siemens는 CVE-2026-110936의 실제 악용(active exploitation)이 있음을 검증했다고 별도로 공지했습니다.
- Siemens Security Advisory SSA-580366은 Siemens Software Center의 V4.0.9.8 미만 전 버전을 영향 버전으로 안내합니다.
- 권고의 핵심은 V4.0.9.8 이상 업데이트이며, 기존 설치는 다음 기동 시 자동 업데이트된다는 안내가 함께 제공됩니다.
이 세 가지 사실이 겹치면 우선순위의 성격이 바뀝니다. 악용 정황이 없는 검색 경로 결함이라면 정기 패치 주기에 실을 수 있지만, 벤더 검증 악용과 KEV 등재가 확인된 항목은 자산 확인과 업데이트가 정기 주기를 기다려 주지 않습니다.
영향 범위
영향 제품은 Siemens Software Center 하나이고, 버전 경계는 V4.0.9.8입니다. SSA-580366은 V4.0.9.8 미만 모든 버전이 CVE-2026-110936의 영향을 받는다고 안내합니다.
- 범위를 나누는 기준은 네트워크 경계나 지역이 아니라 호스트 단위의 두 조건입니다. Software Center가 설치되어 있는가, 설치된 버전이 V4.0.9.8 미만인가.
- Siemens 악용 공지에서 언급되는 서명 실행 파일 버전 3.5.8.7도 V4.0.9.8 미만 범위에 속하므로, 점검 기준은 그대로 버전 경계로 유지됩니다.
- 이 글에서 영향 범위로 확정하는 것은 Siemens Software Center라는 제품과 V4.0.9.8 미만이라는 버전 조건까지입니다. 제품군별·배포 환경별 추가 구분은 이번 근거에 제시되어 있지 않습니다.
- 자동 업데이트에 의존하는 구조라면, 기동 시점 업데이트가 실제로 적용되었는지 확인하는 일 자체가 범위 판단의 일부가 됩니다.
한계도 분명히 해 둡니다. 확보된 근거는 운영체제별 세부 조건이나 하위 제품 라인, 실제 공격받은 조직이나 산업군을 특정하지 않습니다. KEV 등재 사실 자체가 공격 대상을 좁혀 주지도 않습니다. 따라서 영향 범위는 제품과 버전 조건으로만 확정하고, 표적이 된 집단에 대한 추정은 이 글에서 하지 않습니다.
기술적 분석
DLL 사이드로딩은 프로그램이 의존 DLL을 찾을 때, 개발자가 의도한 위치보다 공격자가 통제하는 위치가 먼저 검색되는 구조를 악용합니다. CISA 카탈로그가 CVE-2026-110936을 uncontrolled search path element로 분류하는 이유가 여기에 있고, Siemens의 악용 검증 공지(2026-10-19)는 같은 약점을 DLL side-loading으로 지칭합니다.
- 구조상 악성 DLL을 검색 경로에 미리 배치해야 한다는 전제가 따라붙습니다. 다만 그 배치가 어떤 경로와 권한 조건에서 가능한지는 이번 근거에 명시되어 있지 않습니다.
- 원격인지 로컬인지, 몇 단계의 권한이 필요한지, 권한 상승으로 이어지는지의 전제 조건은 이번 근거에 명시되어 있지 않습니다. CISA 설명문 인용이 중간에서 잘려 있어 잘린 이후 문장의 조건을 확장해 해석하지 않았습니다.
- 기술 분석이 제시하는 잠재 영향은 공격자가 사전 배치한 악성 DLL을 통해 Software Center 프로세스 권한으로 코드가 실행될 수 있다는 가능성까지입니다. 프로세스 권한 구성별 세부 차이는 이번 근거에 명시되어 있지 않습니다.
악용 확인이 우선순위에 주는 의미
이 항목의 위험도는 악용 상태에서 나옵니다. 기술 분석은 공격자가 사전 배치한 악성 DLL을 통해 Software Center 프로세스 권한으로 코드가 실행될 가능성을 잠재 영향으로 제시합니다. 여기에 벤더 검증 악용 확인과 KEV 등재가 더해지면, 대응 순서는 악용 시나리오를 막연히 검토하는 데서 내 환경에 해당 버전이 남아 있는지를 지우는 작업으로 이동합니다.
CVE 레코드에는 심각도 평가값이 별도로 기록되어 있습니다. 다만 본문의 우선순위는 그 수치로 계산하지 않고, 벤더가 악용을 검증했고 CISA KEV에 등재되었다는 확인된 상태를 기준으로 삼았습니다. 심각도 표기는 참고자료의 CVE 레코드를 직접 확인해 판단하는 편이 정확합니다.
우선순위 판단은 여기까지가 근거 범위입니다. 벤더의 실제 악용 확인과 CISA KEV 등재는 확인된 사실로 남겨 두고, 공격 전제 조건이 확인되지 않았다는 사실을 위험의 크기나 충족 가능성으로 풀어내는 추론은 이 글에서 하지 않습니다.
실제 악용에서 확인된 담체와 지표
Siemens의 2026-10-19 공지에는 이번 악용에서 확인된 담체와 침해 지표가 담겨 있습니다. 공지는 공격자가 서명된 SSC 3.5.8.7 실행 파일을 ClickFix(Romulus) 캠페인의 DLL 사이드로딩 담체로 사용한 정황과, 침해 지표로 제시한 96.62.218[.]59와 wizardexpensive[.]com을 안내합니다.
- 공지에서 확인되는 사실은 서명된 SSC 3.5.8.7 실행 파일이 DLL 사이드로딩 담체로 언급되었다는 점까지입니다. 그 실행 파일이 어떤 경로와 권한 조건에서 악성 DLL을 로드했는지는 이번 근거에 명시되어 있지 않습니다.
- 공지에서 확인되는 침해 지표는 96.62.218[.]59와 wizardexpensive[.]com입니다. 이 값들이 실제로 어떤 활동과 연결되는지에 대한 설명과 나머지의 지표 목록은 이번 근거에 포함되어 있지 않습니다.
- 악용 코드의 공개 PoC 복제본은 이번 조사에서 확인하지 못했습니다. 이는 확인 범위에 관한 한계이며, Siemens가 실제 악용을 검증했다는 사실에는 영향을 주지 않습니다.
대응 방안
즉시 확인할 것
- 자산 목록과 대조해 V4.0.9.8 미만 Siemens Software Center가 설치된 호스트를 먼저 특정합니다.
- Siemens 안내대로 V4.0.9.8 이상으로 업데이트합니다. 기존 설치는 다음 기동 시 자동 업데이트되므로, 강제 재기동 또는 수동 업데이트 확인으로 실제 적용을 검증합니다.
- 이번 근거에는 업데이트 외에 Siemens가 안내한 임시 완화 조치가 포함되어 있지 않습니다. 따라서 업데이트 적용 전 시간 창은 별도 구성 지침으로 채우기보다, 미적용 호스트를 조기에 찾아 업데이트를 적용하는 속도로 관리하는 편이 근거 범위와 맞습니다.
탐지와 모니터링
- Software Center 프로세스의 비정상 DLL 로드 경로와, 신뢰되지 않은 디렉터리에서 실행된 이력을 점검합니다.
- Siemens 공지에 제시된 침해 지표를 보유 로그에 대조합니다. 96.62.218[.]59에 대한 접근 기록과 wizardexpensive[.]com의 이름 해석 및 연결 시도가 남아 있는지가 침해 점검의 출발점이 됩니다.
- 공지에서 언급된 서명된 SSC 3.5.8.7 실행 파일이 의도하지 않은 경로에서 실행된 이력이 보유 로그 범위에서 확인되는지 살펴봅니다.
- V4.0.9.8 미만 호스트를 계속 대상으로 자산 스캔하고, 업데이트 상태를 지속 모니터링합니다.
- 다만 위 지표 외의 공격자 조직, 공격 시점, 캠페인의 전 범위는 이번 근거에 포함되어 있지 않습니다. 침투 경로의 전부는 복원하지 못했으므로, 공지 IOC를 넘는 점검이 필요하면 후속 위협 인텔리전스로 보완해야 합니다.
지속 관리
- V4.0.9.8 이상 버전을 유지하고, 자동 업데이트가 실제로 동작하는지 주기적으로 확인합니다. Siemens가 안내한 지속 관리 범위는 여기까지이며, 그 밖의 구성 항목은 이번 근거에 제시되어 있지 않습니다.
요약하면, 이 취약점에 대한 대응은 버전 확인과 V4.0.9.8 이상 업데이트 적용이 가장 앞서고, 공지된 담체와 지표를 보유 로그에 대조하고 비정상 DLL 로드 이력을 보는 침해 점검이 그다음입니다. 자동 업데이트가 실제로 적용되었는지 확인하는 지속 관리가 뒤를 잇습니다. 이 순서는 벤더의 악용 검증과 KEV 등재, 자동 업데이트라는 배포 방식, 공지된 담체와 지표라는 확인된 사실에서 도출한 해석이며, 공격 전제 조건과 캠페인의 남은 세부 사항은 그대로 한계로 남습니다.
참고자료
- CVE-2026-110936 record
- SSA-580366: Siemens Software Center vulnerability
- Known Exploited Vulnerabilities Catalog - CVE-2026-110936
- Active Exploitation of CVE-2026-110936 in Siemens Software Center
함께 읽으면 좋은 글
- CVE-2026-114625: Arista VeloCloud Orchestrator SQL 인젝션, KEV 등재로 확인된 사실과 확인 필요 항목
- CVE-2026-119408: n8n 폐기 코드 노드 경유 원격 코드 실행과 자동화 워크플로 서버 점검
- CVE-2026-46300: Linux 커널 skb 공유 프래그 마커 결함, 커널 업데이트로 점검할 사항
본 콘텐츠는 AI 기술로 작성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하셨으면 댓글을 통해 의견을 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.
댓글 (0)
댓글을 작성하려면 로그인이 필요합니다.
로그인아직 댓글이 없습니다.
첫 번째 댓글을 작성해보세요!