LiteSpeed User-End cPanel 플러그인 권한 상승 취약점 (CVE-2026-48172) 긴급 보안 권고
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTLiteSpeed User-End cPanel 플러그인 2.4.5 미만 버전
인증되지 않은 원격 공격자가 Redis 활성화/비활성화 기능의 처리 미흡을 악용하여 루트(root) 권한을 획득할 수 있으며, 실제 침해 사고가 보고되었습니다.
즉시 플러그인을 권장 최소 버전인 2.4.7 이상으로 업데이트하고, 제공된 명령어를 통해 침해 지표(IoC)를 검사하십시오.
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
PATCH & WORKAROUND1. 패치 적용 (최우선 권고)
LiteSpeed cPanel 플러그인을 최신 버전으로 업데이트하십시오. 안전한 운영을 위해 최소 2.4.7 이상 버전으로의 업그레이드가 강력히 권장됩니다.
2. 침해 사고 분석 및 탐지 (IoC 검사)
서버 터미널(Bash)에서 아래 명령어를 실행하여 실제 공격 시도가 있었는지 로그를 검사하십시오:
grep -rE "cpanel_jsonapi_func=redisAble" /var/cpanel/logs /usr/local/cpanel/logs/ 2>/dev/null- 검색 결과가 없는 경우: 현재까지 해당 취약점을 통한 직접적인 공격 시도는 탐지되지 않은 상태입니다.
- 검색 결과가 존재하는 경우: 출력된 로그에 기록된 IP 주소들을 확인하십시오. 신뢰할 수 없는 외부 IP인 경우 방화벽에서 즉시 차단하고, 해당 IP가 시스템 내에서 수행한 추가 행위를 시스템 로그를 통해 정밀 분석해야 합니다.
코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요
서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.
취약점 발생 원리 및 공격 메커니즘
본 취약점(CVE-2026-48172)은 LiteSpeed User-End cPanel 플러그인에서 발생하는 심각한 권한 상승 취약점입니다. 취약점의 핵심 원인은 Redis 활성화 및 비활성화 기능(redisAble)을 처리하는 과정에서 발생하는 부적절한 권한 할당(CWE-266) 및 검증 미흡에 있습니다.
공격자는 특수하게 조작된 요청을 통해 cPanel API를 호출함으로써, 최종 사용자 권한에서 시스템 최고 권한인 root 권한까지 상승시킬 수 있습니다. CVSS 점수 9.8(Critical)을 기록하였으며, 네트워크를 통해 인증 없이도 공격이 가능하여 매우 위험합니다. 특히 2026년 5월에 실제 야생(In-the-wild)에서 악용된 사례가 확인되어 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되었습니다.
공식 보안 권고문 및 참조 링크
LiteSpeed User-End cPanel Plugin before 2.4.5 allows privilege escalation (possibly to root), as exploited in the wild in May 2026. Detection is best done via a command line of grep -rE "cpanel_jsonapi_func=redisAble" /var/cpanel/logs /usr/local/cpanel/logs/ 2>/dev/null in Bash. If you get no output, you have not been hit with exploitation of the vulnerability. If there is output, we recommend you examine the IP addresses in the list, determine if they are valid IP addresses, and if not, block them. To determine damage done, examine the system logs for use by the detected IP addresses. The issue is related to mishandling of Redis enable/disable features. The recommended minimum version is 2.4.7.
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.