위협 피드

위험CVSS9.1#CVE-2026-71362 #Adobe Commerce #Magento #권한 상승 #권한 부여

CVE-2026-71362 — Adobe Commerce 및 Magento의 인증 없는 권한 상승 (해설 및 수정)

CVE-2026-71362는 Adobe Commerce 및 Magento의 인증 없는 권한 상승 취약점(CVSS 9.1)으로, 8월 11일 수정되었고 9월 24일부터 CISA KEV에 등재되어 있습니다. 영향 버전과 점검 방법.

게시 2026-09-26 업데이트 2026-10-04 최종 확인 2026-11-02 7분 읽기

이 페이지에서

이 글은 실제로 악용되고 있는 취약점(CISA KEV에 등재됨)에 대한 신속한 해설입니다. 무슨 일이 일어나는지, 누가 영향을 받는지, 어떻게 대응해야 하는지를 방어자의 관점에서 다루며, 재현 절차는 포함하지 않습니다.

공지 요약

CVE: CVE-2026-71362
심각도: Critical (CVSS 9.1 / v3.1)
유형: 잘못된 권한 부여 (CWE-863)
영향: 권한 상승 — Adobe의 표현으로는 "민감한 리소스에 대한 상위 접근 권한"
전제 조건: 인증 불필요, 관리자 권한 불필요, 사용자 상호작용 불필요
영향 대상: Adobe Commerce (2.4.4–2.4.9), Adobe Commerce B2B, Magento Open Source (2.4.6–2.4.9), 각 라인의 "2026-jul" 및 이전 버전
수정: 같은 라인의 "2026-aug" 릴리스 (2026년 8월 11일 공개, 공지 APSB26-92)
악용 여부: CISA KEV 등재 (2026년 9월 24일 추가, 조치 기한 9월 27일), 포렌식 분류 필요로 표시됨

9.1

CVSS (v3.1)

인증 불필요

공격자에게 필요한 조건

~90%

EPSS — 30일 내 악용 추정 확률 (9월 25일)

44일

수정(8월 11일)부터 KEV 등재(9월 24일)까지

핵심 결론

'우선순위 2, 알려진 악용 없음'이라며 이 업데이트를 미뤘다면 오늘 2026-aug 릴리스를 적용하십시오

공개 당시 등급은 낮았지만, 44일 뒤 CISA는 악용을 확인했습니다. 벤더 공지는 발행 시점의 등급을 그대로 유지하므로, 우선순위는 이후 KEV와 EPSS를 바탕으로 다시 정해야 합니다(see CVSS, EPSS, KEV로 우선순위 정하기).

오늘 자신의 라인에 맞는 "2026-aug" 릴리스로 업데이트하십시오. 수정 버전은 8월 11일부터 존재했습니다.
공개 당시 Adobe는 이 업데이트를 우선순위 2로 분류했고 악용 사실을 알지 못한다고 밝혔습니다. 그 근거로 업데이트를 미룬 것은 당시로서는 무리한 판단이 아니었습니다.
8월 11일 이후 어느 시점이든 쇼핑몰이 패치되지 않은 상태였다면, 그 기간에 침입당했는지 확인하는 것이 대응의 일부입니다.

기다리는 것이 얼마나 위험한가요?

인증도 사용자 상호작용도 필요하지 않다는 것은 인터넷에 노출된 모든 쇼핑몰에 도달할 수 있다는 뜻입니다. EPSS 추정치 약 90%는 이 취약점을 전체 CVE의 상위 0.3%에 해당하는 수준으로 보여줍니다. 전자상거래 사이트는 고객 데이터를 보관하고 결제를 처리하므로 오래전부터 자동화된 공격의 주요 표적이었습니다. 무차별적으로 스캔하는 공격 앞에서 "우리는 작은 쇼핑몰이라서"라는 생각은 의미가 없습니다.

어떤 종류의 결함인가요?

권한 부여는 이 호출자가 이 작업을 수행하거나 이 데이터를 볼 수 있는지를 결정합니다. 이는 로그인에 성공했는지(인증)와는 별개의 문제이며, 권한 부여 판단에 빈틈이 있으면 본래 접근해서는 안 되는 기능과 데이터에 닿을 수 있게 됩니다. 이 차이는 인증과 권한 부여의 차이에서 다룹니다.

CVE-2026-71362가 바로 그런 빈틈(CWE-863)이며, Adobe는 이를 권한 상승으로 분류합니다. CVSS 벡터에는 PR:N이 포함되어 있는데, 이는 로그인하지 않은 사람도 악용할 수 있음을 의미하며 기밀성과 무결성 모두에 높은 영향을 미칩니다. 본 사이트는 악용 방법을 설명하지 않습니다.

8월 11일 — 수정 릴리스 공개 (APSB26-92)

우선순위 2 / "악용 사실을 알지 못함" → 많은 쇼핑몰이 다음 정기 업데이트까지 미루는 것이 합리적으로 보일 수 있음

8월 18일 — 공지 마지막 업데이트

그 이후 악용 관련 내용은 변경되지 않음

9월 24일 — CISA, KEV에 추가 (조치 기한 9월 27일)

악용 확인. 패치되지 않은 쇼핑몰은 이 날짜 이전에 표적이 되었을 수 있음

벤더 공지는 발행 이후 갱신되지 않을 수 있으며, 악용 확인은 나중에 이루어질 수 있습니다. 우선순위는 다시 정해야 합니다.

영향을 받는 대상

제품	영향 버전	수정 버전
Adobe Commerce	2.4.9 / 2.4.8 / 2.4.7 / 2.4.6 / 2.4.5 / 2.4.4, 각 2026-jul 및 이전	같은 라인의 2026-aug
Adobe Commerce B2B	1.5.3 / 1.5.2 / 1.4.2 / 1.3.4 / 1.3.3, 각 2026-jul 및 이전	같은 라인의 2026-aug
Magento Open Source	2.4.9 / 2.4.8 / 2.4.7 / 2.4.6, 각 2026-jul 및 이전	같은 라인의 2026-aug
이전 라인	NVD는 2.4.4 이전 버전을 영향 대상으로 나열	수정 버전 없음 — 지원되는 라인으로 이전

같은 공지에서 다른 취약점 6개도 함께 수정됩니다

APSB26-92에는 저장형 XSS와 다른 권한 부여 결함을 포함해 총 7개의 문제가 수정되어 있습니다. KEV에 등재된 것은 CVE-2026-71362뿐이지만, 업데이트하면 7개가 모두 한 번에 해결됩니다. 문제별 우회책을 찾는 것보다 업데이트가 더 빠릅니다.

해야 할 일

자신의 라인에 맞는 2026-aug 릴리스로 업데이트 (최우선)

쇼핑몰의 라인과 패치 수준을 확인한 뒤 해당 라인의 2026-aug 릴리스로 업데이트하고, 실행 중인 버전이 바뀌었는지 확인하십시오. 운영, 스테이징, 오래된 예비 스토어프런트 등 여러 환경을 운영한다면 인터넷에서 접근 가능한 모든 것이 대상입니다. 잊혀진 오래된 쇼핑몰이 가장 패치되지 않은 상태로 남기 쉽습니다(보안 인벤토리 점검표).

지원되지 않는 라인이라면 오늘 바로 이전 계획을 세우십시오

2.4.4보다 오래된 라인에는 수정 버전이 제공되지 않습니다. 이전에는 시간이 걸리므로, 그동안 관리자 및 API 진입점에 접근할 수 있는 대상을 제한하고 WAF 보호를 켜서 접근 가능한 범위를 줄이십시오. 이는 당장의 위험을 줄일 뿐 결함을 고치지는 못하며, 결함을 해결할 수 있는 것은 이전뿐입니다.

패치되지 않은 상태였던 동안 침입당했는지 확인

8월 11일 이후 쇼핑몰이 어느 시점이든 패치되지 않은 상태였다면 그 기간을 의심하십시오. CISA는 이 CVE에 대해 포렌식 분류가 필요하다고도 명시하고 있습니다. 최소한 다음을 확인하십시오. (1) 관리자 계정 — 알아볼 수 없는 계정이나 권한이 변경된 계정. (2) 연동 및 API 토큰 — 직접 만들지 않은 토큰이나 최근 발급된 토큰. (3) 파일과 설정 — 특히 결제 페이지에서 로드되는 스크립트와 관리자 패널에서 편집할 수 있는 HTML 및 설정(전자상거래 침해에서는 결제 정보를 훔치는 스크립트를 심는 것이 전형적인 목적입니다). (4) 로그 — 비정상적인 출처, 비정상적인 시간대, 비정상적인 양으로 이루어진 관리자 또는 API 기능 접근.

무언가 이상하다면 자격 증명을 함께 교체

침입 여부를 배제할 수 없다면 관리자 비밀번호, 연동 토큰, 결제 및 외부 API 키를 교체하고 모든 세션을 무효화하십시오. 패치는 결함을 막을 뿐이며, 이미 탈취된 자격 증명이나 키를 폐기하지는 않습니다. 결함 수정과 침입자 제거는 별개의 작업입니다. 전체 절차는 취약점 대응 플레이북에 있습니다.

'다음 업데이트'를 기다리지 마십시오

이번 사례처럼 공개 당시 긴급하지 않다고 판단된 업데이트도 나중에 긴급해질 수 있습니다. KEV에 항목이 추가되면 알림을 받으십시오(본 사이트의 취약점 경보도 한 방법입니다). 또는 정기 업데이트 주기와 별개로 보안 업데이트를 적용하십시오.

본 사이트의 견해: '우선순위 2'가 틀린 것은 아니었습니다. 다만 한 번도 갱신되지 않았을 뿐입니다

Adobe의 공개 당시 등급만 탓하는 것은 핵심을 놓치는 것입니다. 출시 당시 악용이 관찰되지 않았다면 낮은 우선순위는 합리적인 판단이었습니다. 문제는 공지의 등급은 그대로 남아 있는데 독자들이 이를 현재 상태로 받아들인다는 점입니다.

이런 구조는 Adobe만의 문제가 아닙니다. 벤더 심각도(CVSS, 우선순위)는 결함 자체를 설명하고, KEV와 EPSS는 지금 표적이 되고 있는지를 설명합니다. 전자는 발행 시 한 번 정해지고 변하지 않으며, 후자는 매일 변합니다. 그래서 본 사이트는 패치 순서를 출시 시점에 한 번 정할 것이 아니라 KEV와 EPSS가 바뀔 때마다 다시 정해야 한다고 권고합니다. 44일은 이러한 재조정 없이 쇼핑몰이 노출된 채 머문 기간입니다.

출처

Adobe — Security update available for Adobe Commerce | APSB26-92 (2026년 8월 11일 공개, 8월 18일 최종 업데이트; 영향 및 수정 버전, 우선순위, CVSS, "악용 사실을 알지 못함" 안내)
NVD — CVE-2026-71362 (CWE-863, CVSS v3.1 9.1; 영향 구성에 2.4.4 이전 버전 포함)
CISA KEV — Known Exploited Vulnerabilities Catalog (2026년 9월 24일 추가, 9월 27일 기한, 포렌식 분류 필요)
FIRST — EPSS (2026년 9월 25일 기준 0.896, 99.78 백분위)

다음으로 읽을 글

판단: CVSS, EPSS, KEV로 우선순위 정하기 / 취약점 대응 플레이북
작동 원리: 인증과 권한 부여의 차이 / IDOR란?
대비되는 사례: CVE-2026-87902 (WordPress 코어: 수정 후 3일 만에 KEV 등재)
다른 Magento 경보: CVE-2026-45247 (Magento 확장 프로그램의 인증 없는 RCE)
용어: CVSS란? / PCI DSS란?

FAQ

QCVE-2026-71362로 무엇이 가능해지나요?

Adobe 공지에 따르면, 잘못된 권한 부여 결함(CWE-863)으로 권한 상승이 가능해져 공격자가 민감한 리소스에 대한 상위 접근 권한을 얻을 수 있습니다. 악용에는 인증, 관리자 권한, 사용자 상호작용이 필요하지 않습니다(CVSS 9.1). CISA는 활성 악용을 확인한 뒤 2026년 9월 24일 KEV 카탈로그에 이 취약점을 추가했습니다.

Q어떤 버전이 영향을 받고, 무엇으로 업데이트해야 하나요?

'2026-jul' 및 이전 버전의 Adobe Commerce 2.4.4–2.4.9, '2026-jul' 및 이전 버전의 Magento Open Source 2.4.6–2.4.9, 그리고 Adobe Commerce B2B입니다. 수정 버전은 같은 라인의 '2026-aug' 릴리스입니다(예: 2.4.8-2026-aug). NVD는 2.4.4 이전 버전도 영향 대상으로 나열하고 있으며, 지원이 종료된 라인에는 수정 버전이 없으므로 지원되는 라인으로 옮겨야 합니다.

QAdobe는 알려진 악용이 없다고 하지 않았나요?

맞습니다. 2026년 8월 18일 마지막으로 업데이트된 공지는 Adobe가 실제 환경에서의 악용을 파악하지 못했다고 밝혔습니다. 9월 24일 CISA는 악용을 확인하고 CVE를 KEV에 추가했습니다. 공지의 악용 관련 내용은 작성 당시 알려진 정보를 반영하며 이후 반드시 갱신되는 것은 아니므로, 의사결정은 KEV 등재 여부를 기준으로 하십시오.

Q패치만 하면 끝인가요?

아닙니다. 수정 버전은 8월 11일부터 제공되었으므로, 그 이후 쇼핑몰이 패치되지 않은 상태였던 기간에는 침입당했을 가능성이 있습니다. CISA는 이 CVE에 대해 포렌식 분류(forensic triage)가 필요하다고도 명시하고 있습니다. 관리자 계정과 연동/API 토큰을 검토하고, 결제 페이지에서 로드되는 스크립트를 포함한 파일 변경 여부를 확인하며, 로그를 점검하십시오.