Adobe Acrobat 및 Reader 이중 해제(Double Free) 취약점 기반 원격 코드 실행 분석 (CVE-2018-4990)
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTAdobe Acrobat 및 Reader 2018.011.20038 이하, 2017.011.30079 이하, 2015.006.30417 이하 버전
조작된 PDF 문서를 열람할 경우, 현재 로그인된 사용자 권한 컨텍스트 내에서 임의의 원격 코드 실행(RCE)이 가능합니다
Adobe 공식 보안 패치(APSB18-09)를 적용하여 최신 안전 버전으로 즉시 업그레이드하십시오
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
패치 및 우회 명령어1. 공식 보안 패치 및 버전 업그레이드 명령어
Adobe 공식 보안 권고(APSB18-09)에 따라 최신 안전 버전으로 업데이트해야 합니다. 엔터프라이즈 환경에서는 아래의 PowerShell 스크립트를 사용하여 설치된 Adobe Reader 버전을 확인하고 최신 MSI 패키지를 배포할 수 있습니다.
# 설치된 Adobe Reader 버전 확인 스크립트
$AcrobatPath = Get-ItemProperty -Path 'HKLM:\Software\Microsoft\Windows\CurrentVersion\Uninstall\*' -ErrorAction SilentlyContinue |
Where-Object { $_.DisplayName -like '*Adobe Acrobat*' -or $_.DisplayName -like '*Adobe Reader*' }
if ($AcrobatPath) {
Write-Host 'Detected Adobe Product:' $AcrobatPath.DisplayName
Write-Host 'Current Version:' $AcrobatPath.DisplayVersion
} else {
Write-Host 'No Adobe Acrobat/Reader installation detected in registry.'
}2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정
즉각적인 패치가 어려운 경우, Adobe Reader 내에서 자바스크립트 실행을 비활성화하여 공격 벡터를 축소하십시오. 아래 레지스트리 명령을 통해 자바스크립트 실행을 강제로 차단할 수 있습니다.
:: Adobe Reader에서 자바스크립트 실행 비활성화 (임시 완화 조치)
reg add 'HKLM\SOFTWARE\Policies\Adobe\Acrobat Reader\DC\FeatureLockDown' /v bDisableJavaScript /t REG_DWORD /d 1 /f
reg add 'HKLM\SOFTWARE\Policies\Adobe\Acrobat Reader\2017\FeatureLockDown' /v bDisableJavaScript /t REG_DWORD /d 1 /f
reg add 'HKLM\SOFTWARE\Policies\Adobe\Acrobat Reader\2015\FeatureLockDown' /v bDisableJavaScript /t REG_DWORD /d 1 /f3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트
엔드포인트에서 비정상적인 하위 프로세스 생성을 모니터링하십시오. Adobe Reader(AcroRd32.exe 또는 Acrobat.exe)가 cmd.exe, powershell.exe, wscript.exe 등을 자식 프로세스로 생성하는 행위는 대표적인 익스플로잇 징후입니다.
패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요
Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.
취약점 발생 원리 및 공격 메커니즘
1. 취약점 개요 및 발생 원인 (Root Cause)
본 취약점(CVE-2018-4990)은 Adobe Acrobat 및 Reader에서 발생하는 이중 해제(Double Free, CWE-415) 취약점입니다. PDF 문서 내의 특정 동적 객체 또는 스트림 데이터를 파싱하고 메모리를 관리하는 과정에서, 이미 해제(Free)된 메모리 포인터를 적절히 초기화하지 않고 동일한 포인터에 대해 다시 한번 해제 함수를 호출함으로써 발생합니다. 이로 인해 힙(Heap) 메모리 구조가 손상되고 메모리 할당자의 내부 메커니즘이 교란됩니다.
2. 공격 메커니즘 및 익스플로잇 시나리오
공격자는 악의적으로 조작된 PDF 파일 내에 특정 자바스크립트(JavaScript) 코드나 폼 필드, 혹은 특수하게 설계된 힙 레이아웃 조작 스트림을 삽입합니다. 사용자가 이 PDF 파일을 Adobe Reader로 열면, 애플리케이션이 내부 객체를 처리하는 과정에서 첫 번째 메모리 해제가 발생한 후, 조작된 스크립트나 구조에 의해 동일한 주소에 대한 두 번째 해제(Double Free)가 유도됩니다. 이 시점에 힙 관리자의 빈 청크 목록(Free List)이 오염되며, 공격자는 후속 메모리 할당 요청을 가로채 셸코드(Shellcode)가 위치한 메모리 주소를 덮어씀으로써 실행 흐름을 장악하고 임의 코드를 실행하게 됩니다.
3. 비즈니스 및 인프라 파급 영향
본 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재된 실제 악용 이력이 있는 고위험군 취약점입니다. 공격자가 이메일 피싱, 웹 다운로드 등을 통해 대상 사용자가 악성 PDF를 열도록 유도하는 데 성공할 경우, 대상 엔드포인트의 제어권을 완전히 탈취할 수 있습니다. 이는 기업 내부망 침투의 교두보로 활용될 수 있으며, 기밀 데이터 유출, 랜섬웨어 감염 등 심각한 비즈니스 중단 사태를 초래할 수 있습니다.
공식 보안 권고문 및 참조 링크
Adobe Acrobat and Reader versions 2018.011.20038 and earlier, 2017.011.30079 and earlier, and 2015.006.30417 and earlier have a Double Free vulnerability. Successful exploitation could lead to arbitrary code execution in the context of the current user.
자주 묻는 실무 질문 (FAQ — CVE-2018-4990)
FAQQ1. CVE-2018-4990 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?
CVE-2018-4990의 기본 점수는 CVSS 8.8 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 35.9%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.
Q2. CVE-2018-4990에 영향을 받는 벤더와 제품은 무엇입니까?
주요 영향 벤더는 adobe이며, 대상 컴포넌트는 acrobat, reader입니다. 상세 영향 범위: Adobe Acrobat 및 Reader: Continuous 2018.011.20038 이하, Classic 2017.011.30079 이하, Classic 2015.006.30417 이하 버전 (Windows 및 macOS 환경 공통)
Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?
[권장 조치] Adobe 공식 보안 패치(APSB18-09)를 적용하여 최신 안전 버전으로 즉시 업그레이드하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.
CVE-2018-4990 사내 보안 패치 공지문 · CISO 경영진 보고서 초안 자동 생성
클릭 한 번으로 사내 이메일·노션·결재 문서에 바로 붙여넣을 수 있는 공식 보고서 양식을 생성합니다.
🔗 함께 점검해야 할 동일 벤더·스택 연관 취약점 (adobe)
동일 카테고리 전체 보기 →Adobe Acrobat Reader 프로토타입 오염(Prototype Pollution) 기반 임의 코드 실행 취약점 (CVE-2026-34621)
[영향 대상] Adobe Acrobat Reader 24.001.30356, 26.001.21367 및 이하 버전
Adobe Commerce (Magento) 서버 측 템플릿 주입(SSTI) 기반 원격 코드 실행 취약점 (CVE-2026-75650)
[영향 대상] Adobe Commerce 및 Magento Open Source 전 버전 (보안 패치 미적용 시)
Adobe ColdFusion 경로 탐색(Path Traversal) 기반 원격 코드 실행(RCE) 취약점 긴급 보안 권고 (CVE-2026-48282)
[영향 대상] Adobe ColdFusion 2025.9, 2023.20 및 이전 버전
Adobe Commerce(Magento) 위험한 파일 업로드 취약점(CVE-2026-48356) 긴급 보안 권고: 원격 코드 실행(RCE) 위험
[영향 대상] Adobe Commerce 및 Magento Open Source 전 버전 (APSB26-73 이전 버전)
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.