CVE Pulse
EN
CVE 데이터베이스CVE-2025-32432
English Advisory →
CVE-2025-3243210.0/CRITICALCISA KEV 등재CWE-94

Craft CMS 원격 코드 실행(RCE) 취약점 긴급 보안 권고 (CVE-2025-32432)

영향받는 벤더 / 생태계
craftcms
대상 컴포넌트 / 패키지
craft_cms
권고문 발행일
2025-04-25

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT
영향 대상

Craft CMS 3.0.0-RC1 이상 3.9.15 미만, 4.0.0-RC1 이상 4.14.15 미만, 5.0.0-RC1 이상 5.6.17 미만 버전

파급 효과

인증되지 않은 원격 공격자가 특별히 조작된 HTTP 요청을 전송하여 대상 서버에서 임의의 PHP 코드를 실행하고 시스템을 완전히 장악할 수 있습니다.

권장 조치

사용 중인 Craft CMS 버전에 따라 즉시 최신 패치 버전(3.9.15, 4.14.15, 5.6.17)으로 업데이트를 수행하십시오.

영향받는 제품 및 버전 범위

Craft CMS 3.x (3.0.0-RC1 ~ 3.9.14), 4.x (4.0.0-RC1 ~ 4.14.14), 5.x (5.0.0-RC1 ~ 5.6.16)

권장 패치 및 임시 완화(Workaround) 가이드

PATCH & WORKAROUND

1. 공식 보안 패치 적용

사용 중인 메이저 버전에 맞춰 즉시 최신 패치 버전으로 업데이트를 수행하십시오.

bash
# Composer를 사용하는 경우 프로젝트 루트 디렉토리에서 아래 명령어를 실행합니다.
composer update craftcms/cms
  • Craft 3.x 사용자: 3.9.15 버전으로 업데이트
  • Craft 4.x 사용자: 4.14.15 버전으로 업데이트
  • Craft 5.x 사용자: 5.6.17 버전으로 업데이트

2. 임시 완화 조치 (패치 적용이 불가능한 경우)

  • WAF(웹 애플리케이션 방화벽) 규칙 적용: 알려진 Craft CMS RCE 페이로드 패턴 및 비정상적인 PHP 함수 호출 시도를 차단하도록 WAF 룰을 구성하십시오.
  • 웹 서버 권한 최소화: PHP-FPM 및 웹 서버(Nginx, Apache) 프로세스가 최소 권한(예: www-data)으로 실행되도록 설정하고, 쓰기 권한이 불필요한 디렉토리의 실행 권한을 제한하십시오.
권장 아키텍처 방어 통제 (Recommended Security Control)
Cloudflare Enterprise & Pro WAF
실제 공격에 악용되고 있는 취약점이므로, 즉시 Craft CMS를 최신 안전한 버전으로 업데이트하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트
무료 WAF 보안 진단 및 룰셋 적용하기
이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요
실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

본 취약점(CVE-2025-32432)은 Craft CMS에서 발생하는 치명적인 원격 코드 실행(RCE) 취약점입니다. 이 취약점은 과거에 보고된 CVE-2023-41892 취약점에 대한 불완전한 패치 또는 우회 경로로 인해 발생한 추가적인 수정 사항입니다.

공격자는 인증을 거치지 않고도(Unauthenticated) 매우 낮은 공격 복잡도로 대상 웹 애플리케이션에 접근할 수 있으며, 입력값 검증 미흡 및 코드 인젝션(CWE-94) 취약점을 악용하여 서버 측에서 임의의 PHP 코드를 실행할 수 있습니다. 특히 이 취약점은 실제 공격에 악용되고 있는 것으로 확인되어 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되었으며, EPSS 점수가 0.94(94%)에 달할 정도로 매우 높은 위협 수준을 나타내고 있습니다.

공격 성공 시, 공격자는 웹 서버 권한으로 시스템 명령어를 실행하거나 웹셸을 업로드하여 데이터베이스 탈취, 내부망 침투, 랜섬웨어 유포 등 심각한 2차 피해를 야기할 수 있습니다.

공식 보안 권고문 및 참조 링크

NVD Original English Description

Craft is a flexible, user-friendly CMS for creating custom digital experiences on the web and beyond. Starting from version 3.0.0-RC1 to before 3.9.15, 4.0.0-RC1 to before 4.14.15, and 5.0.0-RC1 to before 5.6.17, Craft is vulnerable to remote code execution. This is a high-impact, low-complexity attack vector. This issue has been patched in versions 3.9.15, 4.14.15, and 5.6.17, and is an additional fix for CVE-2023-41892.

https://github.com/craftcms/cms/blob/3.x/CHANGELOG.md#3915---2025-04-10-critical
Source: security-advisories@github.com · Product, Release Notes
https://github.com/craftcms/cms/blob/4.x/CHANGELOG.md#41415---2025-04-10-critical
Source: security-advisories@github.com · Product, Release Notes
https://github.com/craftcms/cms/blob/5.x/CHANGELOG.md#5617---2025-04-10-critical
Source: security-advisories@github.com · Product, Release Notes
https://github.com/craftcms/cms/commit/e1c85441fa47eeb7c688c2053f25419bc0547b47
Source: security-advisories@github.com · Patch
https://github.com/craftcms/cms/security/advisories/GHSA-f3gw-9ww9-jmc3
Source: security-advisories@github.com · Vendor Advisory
https://sensepost.com/blog/2025/investigating-an-in-the-wild-campaign-using-rce-in-craftcms/
Source: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · Exploit, Press/Media Coverage
SecOps Advisory Dispatch & RSS Feed

일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독

보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.

Slack / Teams / RSS 리더 연동: