2026-10-28
Adobe Commerce 및 Magento 취약점 CVE-2026-48356: CISA가 악용 확인(KEV), 7월 수정과 침입 여부 확인 방법
2026년 10월 27일, CISA는 Adobe Commerce와 Magento Open Source의 파일 업로드 취약점 CVE-2026-48356을 알려진 악용 취약점(KEV) 목록에 추가했습니다. 미국 연방 민간 기관의 대응 기한은 11월 10일입니다. Adobe는 2026년 7월 14일 보안 공지 APSB26-73에서 이 결함을 다른 13개 결함과 함께 수정했습니다. Adobe Commerce 2.4.4부터 2.4.9, Magento Open Source 2.4.6부터 2.4.9, Adobe Commerce B2B, Adobe Commerce Events가 영향을 받습니다. 수정은 각 릴리스 계열의 2026-jul 보안 수정입니다(Events는 1.21.0). Adobe 공지의 표는 CVSS 9.6으로 평가하지만 Adobe의 CVE 레코드와 NVD는 9.3으로 평가하며, 차이는 가용성 영향뿐입니다. Adobe의 공지(8월 11일 업데이트)는 여전히 Adobe가 악용 사실을 알지 못한다고 밝히고 있습니다. 10월 24일, 한 전자상거래 보안 업체는 이 결함(업체는 PolyShell이라고 부름)과 다른 결함을 통해 설치된 웹 셸이 상점 페이지에 JavaScript를 삽입하는 데 쓰였으며, 이 캠페인이 2025년 7월 이후 대부분 Magento인 953개 상점에 이르렀고, 패치된 상점에서도 삽입된 코드를 발견했다고 보고했습니다. 10월 28일 기준 일본 공공 기관의 경보는 없으며 피해를 공개한 일본 상점도 없습니다. 이 사이트의 결론: Adobe Commerce와 Magento 상점은 오늘 7월 수정이 적용되었는지 확인하고, 적용되어 있더라도 업로드 폴더, CMS 블록, 관리자 계정에서 침입 흔적을 확인해야 합니다.