Adobe Commerce(Magento) 권한 상승 및 민감 정보 탈취 취약점 보안 권고 (CVE-2026-71362)
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTAdobe Commerce 및 Magento Open Source 전 버전 (2.4.7 이하)
인증되지 않은 원격 공격자가 관리자 권한을 획득하여 고객 정보 탈취 및 상점 제어권 장악 가능
Adobe 공식 보안 패치(APSB26-92) 즉시 적용 및 관리자 경로(/admin) 접근 제한 설정
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
PATCH & WORKAROUND- 보안 패치 적용: Adobe 공식 권고문(APSB26-92)을 참조하여 최신 버전으로 업그레이드하십시오.
composer update adobe/commerce-community-edition --with-dependencies- 관리자 페이지 접근 제한: 웹 서버(Nginx/Apache) 설정을 통해 관리자 URL(/admin)에 대한 접근을 특정 IP 대역으로 제한하십시오.
- WAF 규칙 강화: 권한 우회 시도 및 비정상적인 API 호출 패턴을 탐지하도록 WAF 룰셋을 업데이트하십시오.
코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요
서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.
취약점 발생 원리 및 공격 메커니즘
본 취약점은 Adobe Commerce의 부적절한 권한 부여(CWE-863) 로직으로 인해 발생합니다. 공격자는 별도의 인증이나 사용자 상호작용 없이도 특수하게 조작된 요청을 전송하여 시스템 내 권한을 상승시킬 수 있습니다. 특히 CISA KEV(Known Exploited Vulnerabilities)에 등재되어 실제 공격에 악용되고 있음이 확인되었으며, EPSS 점수가 0.94에 달해 자동화된 공격 도구에 의한 대규모 피해 가능성이 매우 높습니다. 공격 성공 시 데이터베이스 내 고객 개인정보, 결제 정보 유출은 물론 웹쉘 설치를 통한 서버 완전 장악으로 이어질 수 있습니다.
공식 보안 권고문 및 참조 링크
Adobe Commerce is affected by an Incorrect Authorization vulnerability that could result in privilege escalation. An attacker could leverage this vulnerability to gain elevated access to sensitive resources. Exploitation of this issue does not require user interaction.
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.