이 문서는 실제로 악용이 확인되어 CISA KEV에 등재된 취약점에 대한 방어 목적의 권고문입니다. 발생한 일, 영향 범위, 대응 방법을 다루며, 공격 방법이나 개념 증명(PoC)은 포함하지 않습니다. 설계 차원의 근본적인 방어는 파일 업로드 취약점과 방어 방법을 참고하십시오.
Joomla 버전 조건과 게스트 제출의 차이
개발자는 치명적인 RCE를 Joomla 6.0.0–6.1.1 조합으로 한정했습니다. 다른 Joomla 버전에서의 게스트 제출은 별개의 문제입니다. 버전 3.9.15는 Joomla 3의 해당 제출 문제를 수정하지만, 여기서의 RCE를 수정하는 것은 아닙니다. 업데이트는 기존 침해 흔적을 제거하지 않습니다.
- CVE
- CVE-2026-48939
- 심각도
- 치명적(CVSS 10.0 / v4.0; 9.8 / v3.1) — 실제 악용 중(CISA KEV)
- 유형
- 인증 없는 임의 파일 업로드 → RCE (CWE-434)
- 영향
- 인증 없이 원격 코드 실행(RCE)
- 영향 대상
- Joomla용 iCagenda — Joomla 6.0.0–6.1.1에서의 iCagenda 3.9.14–4.0.7
- 주요 수정
- 4.0.8 이상으로 업데이트
인증 없이 접근 가능
임의 파일 업로드
실행 가능한 위치에 저장됨
원격 코드 실행
수정: 4.0.8 이상으로 업데이트
패치하지 않으면 위험한 이유
RCE는 인증 없이 접근할 수 있으므로 자동화된 대량 스캔의 주요 표적이 됩니다(KEV 목록에 오른 이유이기도 합니다). CISA는 연방 기관에 2026-07-13까지 조치하도록 명령했습니다. 이벤트 캘린더는 사소한 기능으로 보일 수 있지만, 공개 양식이 인터넷에 노출되어 있다면 규모는 중요하지 않습니다.
영향 범위
| 항목 | 내용 |
|---|---|
| 확장 기능 | Joomla용 iCagenda(이벤트 캘린더 확장 기능) |
| 영향을 받는 버전 | Joomla 6.0.0–6.1.1에서의 iCagenda 3.9.14–4.0.7 |
| 수정된 버전 | 4.0.8 이상 |
| 전제 조건 | 인증 불필요(공개 양식을 통해) |
| 접근 시 영향 | 원격 코드 실행(RCE); 데이터 탈취 |
| 상태 | 실제 악용 중(CISA KEV; 공개 PoC 존재; 조치 기한 2026-07-13) |
근본 원인에 관한 참고(미확정 사항)
CNA는 업로드 문제를 CWE-434로 분류합니다. 확장 기능 버전과 개발자가 제시한 Joomla 버전 조건을 모두 사용하여 노출 여부를 평가하십시오.
대응 방법
4.0.8 이상으로 업데이트(최우선)
침해 여부 확인(업데이트 전에 공격을 받았다고 가정)
업데이트 전까지의 임시 방어(심층 방어)
확장 기능 목록 작성 및 CVE 자동 모니터링
이 사이트의 견해: 이 CVE만이 아니라 패턴 전체를 설계 단계에서 차단하십시오
이는 Joomla 확장 기능들에서 연이어 악용되고 있는 하나의 패턴입니다. 같은 기간에 CVE-2026-48908(SP Page Builder)과 유사 확장 기능인 CVE-2026-56290도 같은 방식, 즉 "인증 없는 업로드 → RCE"로 악용되었습니다. 업데이트는 필수이지만, 장기적으로 효과가 있는 것은 패턴 자체를 설계에서 제거하는 것입니다. 업로드 엔드포인트에 인증을 적용하고, 서버 측에서 허용 목록과 내용 검사를 함께 수행하며, 웹 루트 밖에 저장하거나 실행을 비활성화하십시오. 자세한 내용은 파일 업로드 취약점과 방어 방법을 참고하십시오.
다음으로 읽을 자료
- 근본 방어(지속적): 파일 업로드 취약점 — 웹 셸 / RCE를 설계 단계에서 차단하기
- 같은 패턴의 경보: CVE-2026-48908(SP Page Builder / Joomla)
- 용어집: RCE(원격 코드 실행)란 무엇인가 / CVE란 무엇인가
- 전체 경보: 취약점 경보
출처와 범위
아래 1차 자료는 위에서 다룬 설정, 범위 또는 조치 내용을 뒷받침합니다. 링크는 2026년 10월 23일에 확인했습니다. 각 자료의 버전 및 구성 조건을 참고하십시오. 점검 항목의 우선순위와 교훈은 이 사이트의 지침이며, 기사 전체에 대한 재검증이나 안전 보장이 아닙니다.