실제 악용 중인 취약점(CISA KEV 등재)에 대한 속보입니다. 무슨 일이 일어나는지, 영향 범위, 그리고 대책을 — 공격 절차 없이 방어적으로 설명합니다.
- CVE
- CVE-2026-45247
- 심각도
- Critical (CVSS 9.3 / v4.0)
- 분류
- PHP 객체 인젝션(신뢰할 수 없는 데이터의 역직렬화, CWE-502)
- 영향
- 인증 없는 원격 코드 실행(RCE)
- 영향 대상
- Mirasvit Full Page Cache Warmer for Magento 2 — 1.11.12 미만
- 주된 대책
- 1.11.12 이상으로 업데이트
방치가 위험한 이유
인증 없는 RCE는 자동화된 대량 스캔의 최우선 표적입니다(그래서 KEV에 등재되었습니다). "우리는 너무 작아서 표적이 되지 않는다"는 통하지 않습니다 — 스캐너는 인터넷 전체를 기계적으로 훑습니다.
이 취약점은 무엇인가(PHP 객체 인젝션)
PHP에는 데이터를 문자열화하는 serialize와 그것을 복원하는 unserialize가 있습니다. 신뢰할 수 없는 입력을 그대로 역직렬화하면 공격자가 "복원될 때 원치 않는 부작용을 일으키는 객체"를 넘길 수 있습니다. 복원 과정(매직 메서드 등)에서 의도하지 않은 동작이 연쇄되어 코드 실행에 도달할 수 있습니다. 이것이 PHP 객체 인젝션(CWE-502)입니다.
✗ 신뢰할 수 없는 입력을 복원
외부 입력 → 객체로 unserialize → 복원 연쇄 → 코드 실행
✓ 데이터로 다룸
외부 입력을 오직 데이터(JSON 등)로만 받음 → 객체를 결코 재구성하지 않음
영향받는 구성 요소는 Magento 2용 캐시 워밍 확장 기능입니다. 공격자는 인증 없이 도달하며, CVSS는 이를 9.3으로, 가장 심각한 수준으로 평가합니다.
영향 범위
| 항목 | 상세 |
|---|---|
| 확장 기능 | Mirasvit Full Page Cache Warmer for Magento 2 |
| 영향받는 버전 | 1.11.12 미만 |
| 수정된 버전 | 1.11.12 이상 |
| 전제 조건 | 인증 불필요 |
| 도달한 영향 | 원격 코드 실행(RCE) |
대책
1.11.12+ 로 업데이트(최우선)
패치할 때까지의 임시 심층 방어
침해 여부를 점검한다
확장 기능 인벤토리 + 머신 CVE 모니터링
본 사이트의 견해: 신뢰할 수 없는 데이터를 역직렬화하지 않도록 설계한다
이런 종류의 결함이 계속 나오는 것은 외부 입력을 직접 복원하는 것이 "편리하기" 때문입니다. 본 사이트의 태도는 분명합니다: 신뢰할 수 없는 데이터를 unserialize하는 곳을 결코 만들지 마십시오. 외부 입력은 오직 데이터로만(예: json_decode) 받고, 객체를 재구성하는 데 쓰지 마십시오. 그러면 이런 종류의 결함은 설계상 생길 수 없습니다.
이어서 읽기
- 용어: RCE란 무엇인가 · CVE란 무엇인가 · CVSS란 무엇인가
- 피드: 위협 피드
출처와 확인 범위
아래 1차 자료는 위의 설정·영향 범위·대응을 뒷받침하며 링크는 2026년 10월 23일 확인했습니다. 자료의 버전·구성 조건을 확인하세요. 점검 우선순위와 교훈은 이 사이트의 정리이며 글 전체의 재검증이나 안전 보증이 아닙니다.