이 포스팅은 쿠팡 파트너스 활동의 일환으로, 이에 따른 일정액의 수수료를 제공받습니다.

미국 사이버보안·인프라보안청(CISA)이 10월 6일 산업제어시스템(ICS) 권고 4건을 게시했습니다. 이 중 가장 심각한 것은 Hitachi Energy SOI에 포함된 Apache ActiveMQ 구성요소의 코드 인젝션 취약점(ICSA-26-279-04, CVE-2026-34197, CVSS v3 8.8)입니다. 권고에 적힌 사실과 현장 점검 순서(해석)를 나눠 정리합니다.

권고에 적힌 사실

보안 관제 화면

CISA 권고 ICSA-26-279-04의 핵심은 다음과 같습니다.

  • 대상: Hitachi Energy SOI 2.0.0~2.2.0
  • 취약점: Apache ActiveMQ 구성요소의 코드 인젝션(CVE-2026-34197, CVSS v3 8.8)
  • 경로: Jolokia JMX-HTTP 브리지(/api/jolokia/)를 통해 인증된 공격자가 원격 Spring XML을 불러오게 해 브로커 JVM에서 임의 코드를 실행할 수 있음
  • 조치: SOI EP2 패치 적용(ActiveMQ 5.19.5, OpenJDK 11로 업그레이드)
  • 배포 범위: 에너지 부문, 전 세계

같은 날 Hitachi Energy Asset Suite 9.9.0 이하(ICSA-26-279-03), REB500 8.3.3.1 이하(ICSA-26-279-05), Johnson Controls EasyIO FG 2.0b52 이하(ICSA-26-279-01) 권고도 함께 게시됐습니다.

점검 체크리스트

서버실 장비

  • [ ] 사내·고객사 현장에 Hitachi Energy SOI가 있는지, 버전이 2.0.0~2.2.0 범위인지 확인합니다.
  • [ ] 해당되면 제조사 안내에 따라 SOI EP2 패치 적용 일정을 잡습니다. 운영 중인 설비라면 정비 시간에 맞춥니다.
  • [ ] 패치 전까지 /api/jolokia/ 경로에 접근할 수 있는 네트워크 범위를 확인하고, 업무망·인터넷에서 직접 닿지 않도록 방화벽 규칙을 점검합니다.
  • [ ] 이 취약점은 인증된 공격자 조건이므로, SOI·ActiveMQ 관리 계정 목록을 뽑아 퇴사자·공용 계정·기본 비밀번호가 남아 있지 않은지 봅니다.
  • [ ] 같은 날 나온 Asset Suite·REB500·EasyIO FG 권고 대상 장비가 있는지도 함께 확인합니다.

MES·ERP 담당자가 함께 볼 점

네트워크 케이블과 장비

SOI 같은 운영 시스템은 MES나 ERP와 데이터를 주고받는 경우가 있습니다(해석). 연동 서버가 있다면 그 서버에서 SOI로 가는 접속 경로와 계정도 점검 대상에 넣습니다.

공개 악용 보고는 이번 권고 묶음에서 확인되지 않았습니다(EasyIO FG 권고에 명시). 그렇다고 미뤄도 된다는 뜻은 아닙니다. 패치 전 기간에는 접근 경로를 좁히는 것이 가장 현실적인 완화책입니다. 세부 조치는 반드시 CISA 권고 원문과 Hitachi Energy 보안 공지를 기준으로 하십시오.

함께 보면 좋은 상품

한줄 정리

Hitachi Energy SOI 2.0.0~2.2.0을 쓰는 현장은 EP2 패치 일정을 잡고, 그 전까지 /api/jolokia/ 접근 경로와 관리 계정부터 좁힙니다.

출처