Mirasvit Magento 2용 Full Page Cache Warmer PHP 객체 주입 및 원격 코드 실행 취약점 (CVE-2026-45247)

1. 공식 보안 패치 적용

Mirasvit 공식 채널을 통해 모듈을 1.11.12 이상 버전으로 신속히 업그레이드하십시오.

# Composer를 통한 모듈 업데이트 예시
composer update mirasvit/module-cache-warmer
php bin/magento setup:upgrade
php bin/magento setup:di:compile
php bin/magento cache:clean

2. 임시 완화 조치 (WAF 룰 적용)

패치 적용 전까지 웹 애플리케이션 방화벽(WAF) 또는 Nginx 설정을 통해 CacheWarmer 쿠키 내 PHP 직렬화 패턴을 탐지 및 차단하십시오.

Nginx 차단 규칙 예시:

# HTTP 요청 헤더의 Cookie에 PHP 직렬화 시그니처(O:, a:, s:)가 포함되어 있는지 검사
if ($http_cookie ~* "CacheWarmer=[a-zA-Z0-9%]*[Oa]:[0-9]+") {
    return 403;
}

본 취약점(CVE-2026-45247)은 Magento 2 플랫폼용 Mirasvit Full Page Cache Warmer 확장 모듈에서 발생하는 심각한 PHP 객체 주입(PHP Object Injection, CWE-502) 취약점입니다.

취약점 원인 및 공격 메커니즘

• 안전하지 않은 역직렬화: 해당 모듈은 사용자 브라우저로부터 전달받는 CacheWarmer 쿠키 값을 검증 없이 PHP의 unserialize() 함수로 직접 처리합니다.
• 가젯 체인(Gadget Chain) 활용: 공격자는 Magento 2 코어 및 서드파티 의존성 라이브러리에 존재하는 기존 클래스(가젯)들을 조합하여 악성 실행 흐름을 구성합니다.
• 원격 코드 실행(RCE): 공격자가 정교하게 조작한 직렬화된 PHP 객체를 CacheWarmer 쿠키에 담아 HTTP 요청을 전송하면, 서버가 이를 역직렬화하는 과정에서 공격자가 의도한 임의의 PHP 코드가 실행됩니다.

위협 심각도

• CVSS 9.8 (Critical): 인증이 필요 없고(Unauthenticated), 네트워크를 통해 원격에서 즉시 공격이 가능하며, 시스템의 기밀성, 무결성, 가용성을 완전히 침해할 수 있습니다.
• CISA KEV 등재: 실제 야생(In-the-Wild)에서 적극적으로 악용되고 있는 취약점으로, 즉각적인 패치 및 방어가 요구됩니다.