Drupal Core SQL 인젝션 취약점 (CVE-2026-9082) 긴급 보안 권고

1. 공식 보안 패치 적용

사용 중인 Drupal Core 버전에 맞춰 즉시 아래의 안전한 버전으로 업그레이드를 진행하십시오.

• Composer를 이용한 업데이트 명령어 예시:

# Drupal Core를 최신 안전 버전으로 업데이트
composer update drupal/core-recommended --with-dependencies

2. 임시 완화 조치 (패치 적용 전)

패치를 즉시 적용하기 어려운 환경에서는 아래의 완화 조치를 검토하십시오.

• WAF(웹 애플리케이션 방화벽) 규칙 적용:

공격자가 주로 사용하는 SQL 인젝션 패턴(예: UNION SELECT, OR 1=1, 공백 우회 패턴 등)을 탐지하고 차단하는 WAF 룰을 활성화하십시오.

  # Nginx/ModSecurity 예시 규칙 (단순 참고용)
  SecRule REQUEST_COOKIES|REQUEST_COOKIES_NAMES|REQUEST_HEADERS|REQUEST_LINE|REQUEST_URI|REQUEST_BODY "(?i)(union\s+all\s+select|select\s+.*\s+from|insert\s+into|update\s+.*\s+set)" \
      "id:1000001,phase:2,deny,status:403,log,msg:'Potential SQL Injection Attempt'"

• 데이터베이스 권한 최소화:

Drupal 웹 애플리케이션이 사용하는 DB 계정의 권한을 최소화하여, 취약점이 악용되더라도 시스템 명령 실행(xp_cmdshell, LOAD_FILE 등)이나 타 데이터베이스 접근을 방지하십시오.

본 취약점(CVE-2026-9082)은 Drupal Core에서 발생하는 심각도 'CRITICAL'(CVSS 9.8)의 SQL 인젝션 취약점입니다. 입력값 검증 및 SQL 명령의 특별한 요소에 대한 중립화가 적절히 이루어지지 않아 발생합니다(CWE-89).

공격자는 인증을 거치지 않고도(AV:N/AC:L/PR:N/UI:N) 조작된 HTTP 요청을 통해 취약한 파라미터에 악의적인 SQL 구문을 주입할 수 있습니다. 이로 인해 데이터베이스 내의 사용자 자격 증명, 세션 데이터, 시스템 설정 등의 민감한 정보가 노출될 수 있으며, 데이터베이스 권한에 따라 임의의 데이터를 수정하거나 삭제하는 행위가 가능합니다. 특히 Drupal의 아키텍처 특성상 데이터베이스 내 세션 테이블이나 설정 테이블을 변조할 경우, 관리자 권한 획득 및 원격 코드 실행(RCE)으로 이어질 수 있는 매우 높은 위험성을 내포하고 있습니다.

본 취약점은 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 야생(In-the-Wild)에서 적극적으로 악용되고 있음이 확인되었으며, EPSS 점수가 0.94(94%)에 달해 즉각적인 조치가 요구됩니다.