Joomla iCagenda 확장 프로그램 임의 파일 업로드 및 원격 코드 실행(RCE) 취약점 (CVE-2026-48939)

1. 공식 보안 패치 적용

제조사에서 배포한 최신 보안 패치 버전으로 즉시 업데이트를 수행하십시오.

• iCagenda 3.9.x 사용자: 3.9.15 버전으로 업데이트
• iCagenda 4.0.x 사용자: 4.0.8 버전으로 업데이트

2. 임시 완화 조치 (패치 적용이 어려운 경우)

A. 업로드 디렉터리 내 PHP 실행 권한 비활성화

iCagenda의 미디어/파일 업로드 경로(예: /images/icagenda/ 또는 /media/com_icagenda/) 내에서 PHP 스크립트가 실행되지 않도록 웹 서버 설정을 강화합니다.

Apache (.htaccess) 설정 예시:

<Directory "/var/www/html/images/icagenda">
    <FilesMatch "\.(php|php3|php4|php5|phtml|pl|py|jsp|asp|sh|cgi)$">
        ForceType text/plain
        Require all denied
    </FilesMatch>
</Directory>

Nginx 설정 예시:

location ~* ^/images/icagenda/.*\.(php|phtml)$ {
    deny all;
    access_log off;
    log_not_found off;
}

B. WAF(웹 애플리케이션 방화벽) 규칙 적용

iCagenda 첨부파일 업로드 엔드포인트로 향하는 멀티파트 요청 중, 파일 확장자가 .php, .phtml, .php5 등을 포함하는 경우 차단하도록 WAF 룰을 구성하십시오.

Joomla의 이벤트 관리 확장 프로그램인 iCagenda의 파일 첨부 기능에서 입력값 검증 미흡으로 인해 발생하는 위험도 'CRITICAL'(CVSS 9.8)의 임의 파일 업로드 취약점(CWE-434)입니다.

공격자는 파일 업로드 시 확장자 필터링 및 MIME 타입 검증 프로세스의 허점을 악용하여 .php와 같은 실행 가능한 스크립트 파일을 서버에 업로드할 수 있습니다. 업로드된 파일은 웹 루트 내에 저장되며, 공격자가 해당 경로에 직접 접근(Direct URL Access)함으로써 웹 서버 권한으로 악성 코드를 실행(RCE)하게 됩니다.

이 취약점은 현재 실제 공격에 적극적으로 악용되고 있으며(CISA KEV 등재, EPSS 점수 0.94), 자동화된 스캐너를 통해 취약한 경로를 탐색하고 웹셸을 심는 공격이 빈번하게 발생하고 있어 즉각적인 조치가 필요합니다.