이 포스팅은 쿠팡 파트너스 활동의 일환으로, 이에 따른 일정액의 수수료를 제공받습니다.

미국 CISA·NSA 등은 2026년 8월 19일 Cybersecurity Advisory AA26-231A에서 Siemens S7 시리즈 PLC에 대한 활성 위협을 경고했습니다. 인터넷에 노출되거나 보호가 약한 PLC를 찾아 AI로 생성한 스크립트로 정찰·접근을 시도한다는 내용입니다. 이 글은 권고문의 완화 조치를 제조 현장용 체크리스트로 짧게 옮깁니다. 자사 환경에 맞는 적용은 OT·보안 담당자와 확인하시기 바랍니다.

권고문이 말하는 범위

제어반과 케이블

AA26-231A에 명시된 대상 예시는 다음과 같습니다.

  • S7-200 / S7-300 / S7-400 / S7-1200 / S7-1500 시리즈(CPU 변형 포함)

위협 행위는 인터넷 스캐닝으로 노출된 PLC를 찾고, snap7 등 공개 라이브러리와 AI 보조 스크립트로 S7comm(주로 TCP 102 포트) 접근을 시도하는 패턴으로 설명됩니다(CISA 권고문).

권고문은 Siemens뿐 아니라 다른 PLC에도 유사 완화를 적용하라고 덧붙입니다.

현장에서 먼저 볼 다섯 가지

네트워크 장비와 스위치

  1. 자산 목록: 사내 S7(및 유사 PLC) 위치·펌웨어·인터넷/원격 접근 여부를 한 표로 적습니다.
  2. 인터넷 비노출: 경계 방화벽에서 TCP 102(S7comm) 외부 공개를 막았는지 확인합니다.
  3. 망 분리: OT와 IT 사이 불필요한 라우팅·원격 접속 경로를 점검합니다.
  4. 패치·보호: Siemens ProductCERT·벤더 안내에 따라 펌웨어·TIA/STEP 7을 검토하고, PLC 비밀번호·보호 수준을 켭니다.
  5. 모니터링: 승인되지 않은 엔지니어링 PC·비정상 S7comm 쓰기·비근무 시간 접속에 알람이 가는지 봅니다.

원격 유지보수 업체가 붙어 있다면, 자산 소유자가 모르는 노출이 없는지 함께 확인하라고 권고문은 강조합니다.

체크리스트로 남기는 법

점검 목록이 적힌 클립보드

엑셀 한 장에 「설비명 / CPU 모델 / 펌웨어 / 외부 노출(Y/N) / 102 차단(Y/N) / 담당 / 확인일」만 있어도 첫 주기는 충분합니다.

해석하면, 이 권고의 핵심은 「CVE 하나 패치」가 아니라 노출·인증·망 분리·감시를 한꺼번에 보는 데 있습니다. 패치만 하고 포트가 열려 있으면 위험이 남습니다.

상세 기술·ATT&CK 매핑은 CISA 원문(AA26-231A)과 Siemens ProductCERT를 확인하시기 바랍니다.

함께 보면 좋은 상품

한줄 정리

Siemens S7 AA26-231A는 인터넷 비노출·TCP 102 차단·자산 목록·패치·감시를 함께 점검하라는 권고입니다.

출처