무슨 일이 있었나
CISA는 2026-10-27에 CVE-2026-48356을 알려진 악용 취약점 카탈로그에 추가했으며, 실제 공격이 확인되었습니다. Adobe Commerce/Magento에는 현재 사용자 컨텍스트에서 임의 코드 실행을 초래할 수 있는 무제한 파일 업로드가 포함되어 있습니다.
왜 중요한가
KEV 적용 규칙과 Mythos 이후의 시간-압축 공격에 따라, 이 KEV 추가는 AI 핵심이 아니더라도 표면화됩니다. Magento 스토어프런트가 AI/챗봇 기능을 앞에 두는 경우에만 AI 배포에 중요하며, 주요 위험은 AI 계층이 아닌 표준 서버 측 웹 계층입니다.
공격 경로
위험한 유형의 파일을 무제한 업로드(CWE-434)하여 현재 사용자 컨텍스트에서 임의 코드 실행을 가능하게 하고, 피해자 계정/세션에 대한 접근 권한을 상승시킵니다. 실제 공격이 확인되었으며, 2026-10-27에 CISA KEV에 추가되었습니다.
영향받는 시스템
Adobe Commerce / Magento (APSB26-73에 따른 업데이트)
완화 방안
Adobe APSB26-73 패치를 적용하고, 업로드 유형을 제한하며 파일 내용을 검증하고, KEV 상태를 고려하여 사후 악용을 조사하십시오.