Adobe Commerce(Magento) 위험한 파일 업로드 취약점(CVE-2026-48356) 긴급 보안 권고: 원격 코드 실행(RCE) 위험
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTAdobe Commerce 및 Magento Open Source 전 버전 (APSB26-73 이전 버전)
공격자가 악성 스크립트(WebShell)를 업로드하여 서버의 완전한 제어권을 획득하고 데이터를 유출할 수 있는 원격 코드 실행(RCE) 발생
Adobe 공식 보안 패치를 즉시 적용하고, 미디어 업로드 디렉토리 내 스크립트 실행 권한을 엄격히 제한
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
PATCH & WORKAROUND- 최우선 조치: Adobe 보안 권고(APSB26-73)에 따라 최신 버전으로 업데이트하십시오. 2. 임시 완화 조치: 웹 서버(Nginx/Apache) 설정을 통해 업로드 디렉토리 내 PHP 실행을 차단하십시오.
nginx location /pub/media/ { location ~* \.(php|phtml|phar)$ { deny all; } }- WAF 설정: 파일 업로드 요청(Multipart/form-data) 중 위험한 확장자가 포함된 페이로드를 탐지 및 차단하는 규칙을 활성화하십시오.
코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요
서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.
취약점 발생 원리 및 공격 메커니즘
본 취약점은 CWE-434(Unrestricted Upload of File with Dangerous Type)로 분류되며, Adobe Commerce의 파일 업로드 로직에서 확장자 및 파일 콘텐츠 검증이 불충분하여 발생합니다. 공격자는 특수하게 조작된 요청을 통해 PHP와 같은 실행 가능한 스크립트를 서버에 업로드할 수 있습니다. 특히 이 취약점은 CISA KEV(Known Exploited Vulnerabilities)에 등재되어 실제 공격(In-the-wild)에 활발히 악용되고 있으며, EPSS 점수가 0.94에 달해 공격 발생 가능성이 매우 높습니다. CVSS 9.3의 높은 점수는 공격 성공 시 시스템 전체의 기밀성, 무결성, 가용성이 파괴될 수 있음을 의미합니다.
공식 보안 권고문 및 참조 링크
Adobe Commerce is affected by an Unrestricted Upload of File with Dangerous Type vulnerability that could result in arbitrary code execution in the context of the current user, potentially gaining elevated access or control over the victim's account or session. Exploitation of this issue requires user interaction in that a victim must visit a maliciously crafted URL or interact with a compromised web page. Scope is changed.
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.