Adobe Commerce·Magento CVE-2026-48356 실제 악용 확인

원문 기반 한국어 요약

CISA는 10월 27일 CVE-2026-48356을 실제 악용 증거에 따라 Known Exploited Vulnerabilities 목록에 추가했다. 대상은 Adobe Commerce와 Magento의 제한되지 않은 위험 파일 형식 업로드 취약점이다. [2]

Adobe 공지는 이 취약점을 Critical, CVSS 9.6으로 분류하고 인증 없이 악용할 수 있다고 밝혔다. 취약점의 영향은 권한 상승이며, CVSS 벡터에는 사용자 상호작용이 필요하다고 명시돼 있다. 즉 피해자가 조작된 URL을 방문하거나 변조된 페이지와 상호작용하는 조건을 확인해야 한다. [1]

영향 제품은 Adobe Commerce 2.4.9, 2.4.8-p5 이하, 2.4.7-p10 이하, 2.4.6-p15 이하, 2.4.5-p17 이하, 2.4.4-p18 이하와 대응되는 Adobe Commerce B2B 계열이다. Magento Open Source는 2.4.9, 2.4.8-p5 이하, 2.4.7-p10 이하, 2.4.6-p15 이하가 포함된다. Adobe Commerce Events 1.6.0~1.20.0도 영향 대상이다. [1]

Adobe는 Commerce·Magento 계열에 2.4.9-2026-jul, 2.4.8-2026-jul, 2.4.7-2026-jul, 2.4.6-2026-jul 등 제품별 July 보안 릴리스를 제공했고, Commerce Events는 1.21.0으로 업데이트하도록 안내했다. 정확한 대상 버전은 제품 계열별 공지를 대조해야 한다. [1]

Adobe가 7월 14일 최초 공지를 냈을 때는 실제 악용을 인지하지 못했다고 밝혔지만, CISA의 10월 27일 KEV 등재로 상태가 바뀌었다. 따라서 최초 공지의 '실제 악용 미인지' 문구를 현재 상태로 읽어서는 안 된다. [1][2]

미국 연방 민간기관에는 BOD 26-04에 따른 위험 기반 우선 조치와 패치 전 침해 여부 확인 요구가 적용된다. CISA는 다른 조직에도 인터넷 노출과 사후 영향 범위를 평가하고 KEV 취약점을 우선 처리하도록 권고한다. [2]

근거: 아래 출처 [1] · [2] · 원문 전체 번역이 아닌 핵심 내용의 번역·요약