CISA KEV에 등재된 실제 악용이 확인된 취약점에 대한 방어 권고입니다. 무슨 일이 일어났는지, 어떤 제품이 영향을 받는지, 어떻게 대응해야 하는지를 다루며, 공격 방법이나 개념 증명(PoC)은 포함하지 않습니다. 설계 차원의 근본적인 방어는 파일 업로드 취약점과 방어 방법을 참고하세요.
- CVE
- CVE-2026-48908
- 심각도
- 심각(CVSS 10.0 / CVE 번호 부여 기관의 v4.0 기준; NVD는 CVSS v3.1 9.8로 평가) — 실제 악용 중(CISA KEV)
- 유형
- 인증 없는 임의 파일 업로드 → RCE (CWE-434)
- 영향
- 인증 없이 가능한 원격 코드 실행(RCE)
- 영향 대상
- JoomShaper의 Joomla용 SP Page Builder — 6.6.1 이하
- 주요 해결책
- 6.6.2 이상으로 업데이트
인증 없이 접근 가능
임의 파일 업로드
실행 가능한 위치에 저장
원격 코드 실행
해결: 6.6.2 이상으로 업데이트
패치하지 않으면 위험한 이유
RCE는 인증 없이 접근할 수 있으므로 자동화된 대량 스캔의 주요 표적이 됩니다(KEV 등재 이유이기도 합니다). Censys는 SP Page Builder를 실행하는 인터넷 연결 대상이 10만 개를 훨씬 넘는다고 측정했으며, 영향을 받는 버전은 대규모로 공격당했습니다. "우리는 규모가 작아서 표적이 되지 않는다"는 생각은 맞지 않습니다.
영향 범위
| 항목 | 내용 |
|---|---|
| 확장 기능 | JoomShaper의 Joomla용 SP Page Builder |
| 영향 버전 | 6.6.1 이하 |
| 수정 버전 | 6.6.2 이상 |
| 전제 조건 | 인증 불필요 |
| 접근 시 영향 | 원격 코드 실행(RCE); 데이터 탈취 |
패치 완전성에 관한 참고 사항 (양측 주장, 미해결)
보도에 따르면 6.6.2는 실제로 악용된 경로(커스텀 아이콘 업로드)를 막습니다. 별도로 한 커뮤니티 보고서는 6.6.2에도 관리자 측 처리 일부(보조 경로)에 인증 확인이 없다고 주장했습니다. 이에 대해 공급사인 JoomShaper는 편집기 측 컨트롤러가 먼저 인증을 강제한다며 이의를 제기했고, 이후 업데이트에서 수정할 예정이라고 밝힌 것으로 보도되었습니다. 이 문제는 아직 정리되지 않았으므로, 6.6.2로 업데이트하고, 다층 방어를 유지하며, 다음 릴리스(6.6.x)를 주시하세요.
대응 방법
6.6.2 이상으로 업데이트 (최우선)
침해 여부 점검 (업데이트 이전에 공격당했다고 가정)
업데이트 전까지의 임시 방어 (다층 방어)
확장 기능 목록화 및 CVE 자동 모니터링
이 사이트의 견해: CVE 하나가 아니라 패턴 전체를 설계 단계에서 차단하세요
이번 사건은 "인증 없는 업로드 → RCE"라는 흔한 패턴의 한 사례입니다(같은 시기에 같은 방식으로 악용된 유사한 Joomla 확장 기능 CVE-2026-56290도 있습니다). 업데이트 한 번은 필수이지만, 장기적으로 효과가 큰 것은 패턴 자체를 설계에서 제거하는 것입니다. 업로드 엔드포인트에 인증을 적용하고, 서버 측에서 허용 목록과 내용 검사를 수행하며, 웹 루트 밖에 저장하거나 실행을 비활성화하세요. 자세한 내용은 파일 업로드 취약점과 방어 방법을 참고하세요.
다음으로 읽을 글
- 근본적 방어: 파일 업로드 취약점 — 웹 셸 / RCE를 설계 단계에서 차단하기
- 같은 패턴, 경보: CVE-2026-48939 (iCagenda / Joomla 인증 없는 업로드 → RCE)
- 용어 설명: RCE(원격 코드 실행)란 / CVE란
- 전체 경보: 취약점 경보