대상 독자: Adobe Commerce(구 Magento Commerce) 또는 Magento Open Source로 온라인 상점을 운영하는 사업자, 상점을 구축하고 유지보수하는 에이전시, 호스팅 사업자. 이 글은 Adobe, CISA, NVD의 공개 정보와 한 전자상거래 보안 업체의 보고를 바탕으로 합니다. 공격 절차나 익스플로잇 코드는 다루지 않습니다.
続報待ち：この記事は公式発表に合わせて更新します
2026년 10월 28일 기준(일본 시간)まだ分かっていないこと
- Adobe의 악용 확인(공지는 여전히 알지 못한다고 함)
- 일본 공공 기관의 경보(JPCERT/CC, IPA 모두 없음)
- 일본 내 상점의 피해(공개된 사례 없음)
CISA는 10월 27일 이 결함을 KEV에 추가했습니다. Adobe의 수정은 7월 14일에 나왔습니다. 악용의 세부 내용은 한 전자상거래 보안 업체의 보고에서 나온 것이며 Adobe는 이를 확인하지 않았습니다. 새로운 발표가 있으면 이 글을 업데이트합니다.
오늘 해야 할 일
버전과 수정 적용 여부 확인하기
상점 서버에서 bin/magento --version을 실행해 버전을 확인하세요. 7월 수정은 각 계열의 최신 보안 릴리스(예: 2.4.7-p10) 위에 적용하는 격리 패치로 배포됩니다. 적용 여부를 확인하려면 Adobe가 호스팅하는 환경에서는 Quality Patches Tool(vendor/bin/magento-patches -n status)을, 그 밖의 환경에서는 수정에 포함된 Commerce Version Tool(CE 패치 적용 후 사용 가능)을 사용하세요(Adobe 릴리스 노트). 에이전시나 유지보수 업체가 상점을 운영한다면 두 가지 모두 문의하세요.
수정 적용하기
Adobe의 절차는 먼저 사용 중인 계열의 최신 보안 릴리스(-p 버전)로 이동한 다음(2.4.9는 그대로) 7월 수정을 적용하는 것입니다. 패치는 누적형이 아니므로 순서대로 적용하세요. Adobe Commerce Events 모듈을 사용한다면 1.21.0 이상으로 업데이트하세요. Adobe가 호스팅하는 환경(Adobe Commerce on cloud infrastructure)의 경우, Adobe는 최신 Magento Cloud Patches 릴리스가 문제를 수정한다고 밝히며, 그 위에 격리 패치를 적용하면 설치가 실패할 수 있다고 경고합니다. Adobe의 안내를 따르세요.
업로드 폴더 확인하기
전자상거래 보안 업체는 pub/media/custom_options/(특히 그 아래의 quote 폴더)에 웹 셸이 설치되었다고 보고하며 pub/media/customer_address/도 확인할 것을 권장합니다. 이미지 이름으로 위장한 파일과 .php, .phtml, .phar 같은 실행 파일을 찾으세요. 이 폴더들은 보통 고객이 주문에 첨부한 파일 등을 담는 곳입니다.
CMS 블록, CMS 페이지, 관리자 계정 확인하기
데이터베이스에서 cms_block과 cms_page 테이블에 직접 추가하지 않은 <script> 태그가 없는지, 최근에 변경된 항목(update_time)이 없는지 확인하세요. 같은 업체의 보고서에 검색할 문자열이 나와 있습니다. admin_user에서 모르는 계정을 확인하고, 서버에서 낯선 실행 중인 프로세스를 확인하세요.
흔적을 발견하면 정리한 뒤 자격 증명 변경하기
악성 파일과 스크립트를 제거한 뒤 관리자 계정, 데이터베이스, API 연동의 비밀번호와 토큰을 변경하세요. 스크립트만 삭제하면 공격자가 다시 들어올 수 있는 경로(웹 셸이나 관리자 계정)가 남습니다. 결제 페이지가 변조되었다면 카드사와 결제 대행사에 연락하세요.
수정을 바로 적용할 수 없을 때의 임시 조치(공격을 막지는 못함)
같은 업체는 웹 서버에서 pub/media/custom_options/에 대한 웹 접근을 거부하고 그곳에서 PHP가 실행되지 않도록 설정할 것을 권장합니다. 이렇게 하면 업로드된 파일이 외부에서 실행되는 것은 막지만 파일이 업로드되는 것은 막지 못합니다. 업체는 업로드 요청 자체를 차단하려면 WAF(웹 애플리케이션 트래픽을 검사하는 시스템) 규칙이 필요하다고 밝혔습니다. 둘 다 수정을 적용하기 전까지의 임시 조치입니다.
영향받는 버전과 수정 버전
| 제품 | 영향받는 버전 | 수정(Adobe 표기) |
|---|---|---|
| Adobe Commerce | 2.4.9, 2.4.8-p5 이하, 2.4.7-p10 이하, 2.4.6-p15 이하, 2.4.5-p17 이하, 2.4.4-p18 이하 | 2.4.9, 2.4.8, 2.4.7, 2.4.6, 2.4.5, 2.4.4 각각의 2026-jul |
| Adobe Commerce B2B | 1.5.3, 1.5.2-p5 이하, 1.4.2-p10 이하, 1.3.4-p17 이하, 1.3.3-p18 이하 | 1.5.3, 1.5.2, 1.4.2, 1.3.4, 1.3.3 각각의 2026-jul |
| Magento Open Source | 2.4.9, 2.4.8-p5 이하, 2.4.7-p10 이하, 2.4.6-p15 이하 | 2.4.9, 2.4.8, 2.4.7, 2.4.6 각각의 2026-jul |
| Adobe Commerce Events | 1.6.0부터 1.20.0 | 1.21.0 |
"2026-jul"은 새 버전 번호가 아닙니다. 각 계열의 최신 보안 릴리스에 7월 격리 패치를 적용한 상태를 뜻합니다. Adobe 릴리스 노트에서 패치 파일은 "2-4-7-p10-jul-2026.zip"처럼 대상 버전별로 나뉘어 있습니다. Magento Open Source 사용자는 2.4.6 이상에 대해서만 패치를 직접 내려받을 수 있습니다.
Adobe의 표는 2.4.9도 영향받는 버전으로 나열합니다. 전자상거래 보안 업체는 2.4.9에 이 결함의 수정이 포함되어 있다고 쓰지만, 공지는 같은 날 수정된 14개 결함을 다룹니다. Adobe의 표를 따라 2.4.9에도 7월 수정을 적용할 것을 권장합니다.
파일 업로드를 허용하는 결함(침입 경로)
7월 수정(2026-jul)으로 수정됨
설치된 웹 셸
수정으로 제거되지 않음. 업로드 폴더 확인
페이지에 삽입된 스크립트
수정으로 제거되지 않음. cms_block과 cms_page 확인
추가된 관리자와 노출되었을 수 있는 자격 증명
수정으로 제거되지 않음. admin_user 확인 및 자격 증명 변경
공개된 내용
- CVE
- CVE-2026-48356(Adobe 보안 공지 APSB26-73)
- 유형
- 위험한 유형의 파일 무제한 업로드(CWE-434). Adobe는 영향을 권한 상승, 심각도를 긴급으로 분류하며 인증이 필요하지 않다고 밝힘
- 심각도
- Adobe 공지 표의 CVSS v3.1 9.6(AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:L). Adobe가 CVE 레코드에 등록한 값과 NVD 점수는 9.3(A:N 외에는 동일)
- 영향(CVE 설명)
- 현재 사용자의 컨텍스트에서 임의 코드 실행이 가능하며, 피해자의 계정이나 세션을 탈취할 수 있음. 악용에는 피해자가 조작된 URL을 열거나 침해된 페이지와 상호작용해야 한다고 설명함
- 수정
- 2026년 7월 14일 게시(8월 11일 업데이트). 같은 공지가 14개 취약점을 수정하며, 그중 KEV에 오른 것은 이것뿐. Adobe의 우선순위 등급은 3단계 중 중간인 2
- 악용(Adobe)
- Adobe는 악용 사실을 알지 못한다고 밝힘(10월 28일 게시 내용 기준)
- 악용(CISA)
- 2026년 10월 27일 KEV에 추가. 미국 연방 민간 기관(FCEB)의 기한은 11월 10일. 랜섬웨어 캠페인에서의 사용 여부는 "Unknown". NVD의 CISA SSVC 평가는 악용을 "active"로 평가
두 CVSS 값은 가용성 영향(A)이 "낮음"인지 "없음"인지만 다릅니다. 둘 다 10점 만점에 9점대로 긴급이며 우선순위는 바뀌지 않습니다. CVE 설명은 사용자 상호작용이 필요하다고(UI:R) 하지만, 아래에서 설명하는 업체의 3월 분석은 로그인하지 않고도 파일을 업로드할 수 있다고 설명했습니다. 점수의 세부 사항보다 KEV 등재를 더 중시합니다(이 사이트의 견해).
같은 날 CISA가 KEV에 추가한 다른 결함은 Brotli 압축 형식의 취약점(CVE-2026-111497)입니다. 일본의 조직은 미국 기한에 구속되지 않지만, CISA는 모든 조직에 KEV 취약점 수정을 우선하도록 권장합니다.
공격 보고(한 전자상거래 보안 업체의 조사)
다음은 침해된 온라인 상점 조사를 전문으로 하는 보안 업체의 내용입니다. Adobe는 이를 확인하지 않았습니다.
2026년 3월 17일
업체가 Magento와 Adobe Commerce의 파일 업로드 결함을 "PolyShell"이라는 이름으로 공개했습니다. 당시 수정은 사전 출시 버전(2.4.9 사전 출시판)에만 있었다고 밝혔습니다2026년 3월 30일
같은 업체가 PolyShell을 이용한 대규모 공격으로 1시간 만에 471개 상점이 침해되었다고 보고했습니다(이 보고에는 CVE 번호가 없음)2026년 7월 14일
Adobe가 지원되는 각 릴리스 계열의 수정을 담은 APSB26-73을 게시했습니다2026년 10월 24일
업체는 PolyShell(CVE-2026-48356)과 SessionReaper 같은 다른 결함을 통해 설치된 웹 셸이 상점 페이지에 JavaScript를 삽입하는 데 쓰였으며, 이 캠페인이 2025년 7월 이후 대부분 Magento인 상점 총 953곳에 이르렀다고 보고했습니다2026년 10월 27일
CISA가 이 결함을 KEV에 추가했습니다
10월 24일 보고에 따르면, 공격자는 웹 셸을 설치한 뒤 데이터베이스 테이블 cms_block(상점 페이지에 표시되는 블록)에 JavaScript를 삽입했습니다. 이 스크립트는 외부 사이트에서 코드를 불러오며, 외부 사이트는 방문자별로 리디렉션이나 추가 코드를 반환합니다. 953개 상점은 대부분 Magento 상점이며 다른 결함(SessionReaper, CVE-2025-54236)을 통해 침해된 상점도 포함됩니다.
보고서는 삽입된 코드가 패치된 상점에도 도달했다고 밝힙니다. 예로 누락된 코어 패치가 없는 2.4.7-p10 상점을 들었습니다. 또한 스크립트를 삭제해도 공격자의 접근은 제거되지 않는다고 밝힙니다. 그 접근이 이전에 설치된 웹 셸에서 온 것인지 다른 경로에서 온 것인지는 보고서에서 명확하지 않습니다.
그 업체가 PolyShell이라고 부르는 것이 CVE-2026-48356과 같다면, 3월의 대량 공격은 Adobe가 7월에 지원 계열의 수정을 출시하기 전에 일어난 것입니다(이 사이트의 추론이며 Adobe는 악용을 확인하지 않음). 상점이 7월 이전부터 운영되었다면 3월까지 거슬러 올라가 흔적을 확인하는 것이 안전합니다.
일본의 상황
10월 28일 기준 JPCERT/CC와 IPA는 이 결함에 대한 경보를 내지 않았습니다. 확인한 범위에서 이 결함으로 인한 피해를 공개한 일본 상점은 없습니다.
삽입된 스크립트가 결제 페이지에 설치되면 쇼핑객이 입력한 카드 정보가 노출될 수 있습니다. 카드 데이터를 다루는 상점이 따르는 표준은 PCI DSS이며, 악성 스크립트가 페이지에서 실행되는 경위는 XSS(크로스 사이트 스크립팅) 해설에서 다룹니다.
이 사이트의 견해
파일 업로드 결함의 특징은 수정 후에도 피해가 이어진다는 점입니다. 수정 전에 추가된 파일과 페이지 코드는 그대로 남습니다. 이번 경우 결함은 Adobe가 수정을 출시한 지 3개월 반 뒤에 KEV에 올랐습니다. 7월 수정을 적용한 상점도 끝난 것이 아닙니다. 적용한 날짜 이전의 침입 여부를 확인해야 합니다.
Magento의 경우 확인할 곳은 대체로 정해져 있습니다. 업로드 폴더, cms_block과 cms_page, 그리고 admin_user입니다. 유지보수 업체에 확인을 요청할 때 이 세 곳을 지정하고 결과를 요청하면 누락을 줄일 수 있습니다. 파일 업로드 결함에 대한 일반적인 방어는 파일 업로드 취약점에서 다룹니다.
아직 알려지지 않은 사항
| 항목 | 상태 |
|---|---|
| Adobe의 악용 확인 | 공지(8월 11일 업데이트)는 여전히 알지 못한다고 함 |
| 악용 규모 | CISA는 세부 사항을 공개하지 않음. 수치는 한 전자상거래 보안 업체의 보고에서만 나옴 |
| PolyShell이 이 CVE인지 | 해당 업체의 보고에 근거. Adobe는 이 이름을 언급하지 않음 |
| 2.4.9의 상태 | Adobe 표에서는 영향받음. 업체는 2.4.9에 수정이 포함되었다고 함(Adobe 표를 따를 것) |
| 일본 내 피해 | 공개된 사례 없음 |
출처
모두 2026년 10월 28일에 확인했습니다.
- Adobe, "Security update available for Adobe Commerce | APSB26-73"(2026년 7월 14일 게시, 8월 11일 업데이트) — adobe.com
- Adobe, "Security update available for Adobe Commerce - APSB26-73"(릴리스 노트, KA-37421) — experienceleague.adobe.com
- CISA, "CISA Adds Two Known Exploited Vulnerabilities to Catalog"(2026년 10월 27일) — cisa.gov
- CISA, "Known Exploited Vulnerabilities Catalog"(2026년 10월 27일 버전 기준 데이터) — cisa.gov
- NVD, "CVE-2026-48356" — nvd.nist.gov
- 한 전자상거래 보안 업체의 보고(2026년 10월 24일, 침입 흔적을 찾는 방법 포함) — sansec.io
- 같은 업체의 PolyShell 분석(2026년 3월 17일 게시, 임시 조치 포함) — sansec.io / 3월 대량 공격 보고(2026년 3월 30일) — sansec.io
- JPCERT/CC, 2026년 경보 목록(일본어) — jpcert.or.jp
변경 기록
2026-10-28: 최초 버전. Adobe, CISA, NVD의 공개 정보와 한 전자상거래 보안 업체의 보고를 바탕으로 작성했습니다.
다음으로 읽을 글
- 이런 유형의 결함 방어: 파일 업로드 취약점: 웹 셸과 RCE 방지
- 악성 스크립트가 페이지에서 실행되는 경위: XSS(크로스 사이트 스크립팅)란
- 우선순위 정하기: 무엇부터 패치할지 정하기: CVSS, EPSS, KEV
- 취약점이 발표되었을 때: CVE 대응 플레이북
- 같은 날 KEV에 추가됨: Brotli 취약점 CVE-2026-111497
- 용어: 백도어란 / PCI DSS란 / CVSS란