Atlassian Questions for Confluence 하드코딩된 자격증명 취약점 (CVE-2022-26138) 보안 권고
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTQuestions for Confluence 앱 버전 2.7.34, 2.7.35, 3.0.2가 설치된 Confluence Server 및 Data Center 환경
공격자가 하드코딩된 계정('disabledsystemuser') 정보를 악용하여 인증 없이 시스템에 로그인하고, 내부의 모든 기밀 문서 및 데이터를 탈취할 수 있습니다
Questions for Confluence 앱을 최신 안전한 버전으로 업데이트하거나, 활성화된 'disabledsystemuser' 계정을 즉시 비활성화/삭제하십시오
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
패치 및 우회 명령어1. 공식 보안 패치 및 버전 업그레이드 명령어
가장 확실한 해결책은 Questions for Confluence 앱을 취약점이 해결된 버전(2.7.38, 3.0.5 이상)으로 업데이트하는 것입니다. Confluence 관리자 콘솔(UPM)을 통해 업데이트를 수행하거나, 아래와 같이 API를 통해 앱 버전을 확인하고 업데이트를 적용할 수 있습니다.
# Confluence 관리자 API를 통한 설치된 Questions for Confluence 앱 버전 확인
curl -u 'admin_user:admin_password' -X GET 'http://localhost:8090/rest/plugins/1.0/com.atlassian.confluence.plugins.confluence-questions-key' | grep -i 'version'2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정
즉각적인 앱 업그레이드가 어려운 경우, Confluence 사용자 관리 메뉴에서 'disabledsystemuser' 계정이 존재하는지 확인하고 해당 계정을 즉시 비활성화하거나 삭제해야 합니다. 또한, 외부망에서 Confluence 로그인 페이지로의 직접적인 접근을 차단하도록 Nginx 등 리버스 프록시 설정을 강화합니다.
# Nginx 프록시 환경에서 외부 IP의 Confluence 로그인 및 API 접근 제한 예시
server {
listen 80;
server_name confluence.local;
location /rest/api/ {
allow 10.0.0.0/8;
deny all;
proxy_pass http://127.0.0.1:8090;
}
}3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트
Confluence 데이터베이스에 직접 쿼리하여 'disabledsystemuser' 계정이 생성되어 활성화되어 있는지 점검하고, 해당 계정의 최근 로그인 기록을 확인합니다.
# PostgreSQL 데이터베이스에서 취약한 계정 존재 여부 및 활성화 상태 조회
psql -U confluence_db_user -d confluence -c "SELECT username, active FROM cwd_user WHERE username = 'disabledsystemuser';"
# Confluence 액세스 로그에서 해당 계정의 로그인 시도 흔적 추적
grep -i 'disabledsystemuser' /var/atlassian/application-data/confluence/logs/atlassian-confluence-access.log코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요
서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.
취약점 발생 원리 및 공격 메커니즘
1. 취약점 개요 및 발생 원인 (Root Cause)
본 취약점(CVE-2022-26138)은 Atlassian Confluence Server 및 Data Center용 'Questions for Confluence' 앱 설치 시 발생하는 하드코딩된 자격증명(CWE-798) 취약점입니다. 특정 버전의 앱을 설치하거나 업그레이드할 때, 시스템은 'disabledsystemuser'라는 사용자 이름과 고정된 비밀번호를 가진 관리/시스템 계정을 'confluence-users' 그룹에 자동으로 생성합니다. 이 계정은 외부로 노출된 고정 패스워드를 사용하므로 심각한 인증 우회 경로를 제공합니다.
2. 공격 메커니즘 및 익스플로잇 시나리오
원격의 비인증 공격자는 해당 앱이 설치된 Confluence 인스턴스를 식별한 후, 공개된 하드코딩 패스워드를 사용하여 'disabledsystemuser' 계정으로 로그인을 시도합니다. 이 계정은 기본 사용자 그룹인 'confluence-users'에 소속되어 있으므로, 로그인 성공 시 공격자는 추가적인 권한 상승 과정 없이도 해당 그룹에 허용된 모든 Confluence 공간(Space), 페이지, 첨부파일 및 사용자 디렉터리 정보에 자유롭게 접근하고 데이터를 유출할 수 있습니다.
3. 비즈니스 및 인프라 파급 영향
본 취약점은 CVSS 9.8의 치명적(Critical) 등급으로 평가되었으며, CISA KEV(악용된 취약점 카탈로그)에 등재되어 실제 야생에서 활발히 악용되고 있음이 확인되었습니다. Confluence는 기업의 핵심 지식 베이스, 소스코드 설계도, 인프라 자격증명 등 민감한 내부 자산이 보관되는 곳이므로, 무단 침입 발생 시 기업 지적 재산권 유출 및 비즈니스 연속성에 치명적인 타격을 입게 됩니다.
공식 보안 권고문 및 참조 링크
The Atlassian Questions For Confluence app for Confluence Server and Data Center creates a Confluence user account in the confluence-users group with the username disabledsystemuser and a hardcoded password. A remote, unauthenticated attacker with knowledge of the hardcoded password could exploit this to log into Confluence and access all content accessible to users in the confluence-users group. This user account is created when installing versions 2.7.34, 2.7.35, and 3.0.2 of the app.
자주 묻는 실무 질문 (FAQ — CVE-2022-26138)
FAQQ1. CVE-2022-26138 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?
CVE-2022-26138의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 98.2%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.
Q2. CVE-2022-26138에 영향을 받는 벤더와 제품은 무엇입니까?
주요 영향 벤더는 atlassian이며, 대상 컴포넌트는 questions for confluence, confluence server, confluence data center입니다. 상세 영향 범위: Questions for Confluence 앱 버전 2.7.34, 2.7.35, 3.0.2가 활성화된 Confluence Server 및 Data Center 전체 버전
Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?
[권장 조치] Questions for Confluence 앱을 최신 안전한 버전으로 업데이트하거나, 활성화된 'disabledsystemuser' 계정을 즉시 비활성화/삭제하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.
CVE-2022-26138 사내 보안 패치 공지문 · CISO 경영진 보고서 초안 자동 생성
클릭 한 번으로 사내 이메일·노션·결재 문서에 바로 붙여넣을 수 있는 공식 보고서 양식을 생성합니다.
🔗 함께 점검해야 할 동일 벤더·스택 연관 취약점 (atlassian)
동일 카테고리 전체 보기 →Atlassian Data Center 전 제품군 임의 파일 접근 취약점 보안 권고 (CVE-2026-21589)
[영향 대상] Bitbucket, Confluence, Jira, Bamboo, Crowd 등 Atlassian Data Center 및 서버 제품군 전반
Dell RecoverPoint for Virtual Machines 하드코딩된 자격 증명 취약점 (CVE-2026-22769) 보안 권고
[영향 대상] Dell RecoverPoint for Virtual Machines 6.0.3.1 HF1 미만 버전
Ahsay AhsayCBS Replication Receiver 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-105134)
[영향 대상] AhsayCBS 9.15.2.69 및 10.3.4.44 이하 버전의 Replication Receiver 구성 요소
Adobe Commerce (Magento) 서버 측 템플릿 주입(SSTI) 기반 원격 코드 실행 취약점 (CVE-2026-75650)
[영향 대상] Adobe Commerce 및 Magento Open Source 전 버전 (보안 패치 미적용 시)
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.