Adobe Commerce·Connect 임의 코드 실행 취약점과 업데이트 안내

무슨 일이 생겼나요

KISA 보호나라는 2026-10-29 Adobe Commerce 계열과 Adobe Connect의 보안 업데이트를 권고했어요. 파일을 받는 창구에서 위험한 물건을 제대로 걸러내지 못하거나, 입력 내용을 작업 지시로 잘못 받아들이는 상황에 비유할 수 있어요. 이번 권고에는 서로 다른 문제인 CVE-2026-48356과 CVE-2026-48360이 포함돼요.

CVE-2026-48356은 Adobe Commerce, Adobe Commerce B2B, Magento Open Source, Adobe Commerce Events의 업데이트와 연결돼요. 위험한 형식의 파일을 충분히 제한하지 못하는 문제로, 공격자가 의도한 코드가 실행될 수 있어요. 이 취약점은 실제 공격에 쓰이고 있음(CISA KEV 등재)이 확인돼요. CISA KEV는 실제 악용이 확인된 취약점을 모아 놓은 목록이며, 등재일은 2026-10-27이에요.

CVE-2026-48360은 Adobe Connect Desktop의 Mac Intel·Mac Silicon·Windows 환경과 Adobe Connect Mobile의 Android 환경에 해당해요. 입력을 처리하는 과정에서 공격자의 내용이 실행할 코드에 섞일 수 있는 문제예요. 취약점마다 대상 제품과 해결 버전이 다르므로, Adobe 제품이라는 이유만으로 같은 업데이트를 적용하면 안 돼요.

기술적으로는 (초급 개발자용)

CVE는 공개된 취약점을 구분하는 식별자이고, CWE는 보안 문제가 어떤 종류인지 분류하는 체계예요. CVE-2026-48356의 CWE-434는 위험한 형식의 파일 업로드를 충분히 제한하지 못하는 문제를 뜻해요. 파일을 받아들이는 과정의 제한이 충분하지 않아, 현재 사용자의 권한으로 공격자가 원하는 코드가 실행될 수 있어요. 계정이나 접속 상태에 대한 권한 또는 통제 범위가 확대될 가능성도 있어요.

CVE-2026-48360의 CWE-94는 코드 삽입 문제예요. 프로그램이 실행할 코드를 만드는 과정에서 외부 입력을 적절히 통제하지 못하면, 공격자가 넣은 내용이 실행 지시로 작동할 수 있어요. 이 취약점에서도 코드가 실행되는 권한의 기준은 현재 사용자예요. 이를 곧바로 모든 환경에서 서버 관리자 권한을 얻는다는 뜻으로 해석해서는 안 돼요.

이 취약점들은 피해자가 공격용으로 만든 링크를 열거나, 공격자가 변조한 웹페이지와 상호작용하는 조건이 있어요. 제품이 설치돼 있다는 사실만으로 아무런 사용자 행동 없이 공격이 성립한다고 설명할 수는 없어요. 다만 사용자 행동이 필요하다는 조건은 업데이트를 생략해도 된다는 뜻이 아니에요. 영향 범위가 취약한 구성요소의 보안 경계를 넘어갈 수 있다는 특성도 있어요.

CVSS는 취약점의 기술적 심각도를 평가하는 공통 기준이에요. CVSS 3.1 기준으로 CVE-2026-48356은 9.3, CVE-2026-48360은 9.6이며, 심각도 분류는 모두 CRITICAL이에요. 점수는 개별 사용자가 공격받을 확률이나 이미 발생한 피해 규모를 뜻하지 않아요. 대응 순서를 정할 때는 점수와 함께 실제 악용 여부를 봐야 하므로, CISA KEV에 등재된 CVE-2026-48356을 우선 점검할 근거가 있어요.

누가 영향을 받나요

일반 사용자

Adobe Connect Desktop이나 Adobe Connect Mobile을 사용하는 사람은 자신이 사용하는 환경과 앱 버전을 확인해야 해요. Mac Intel과 Mac Silicon은 같은 Mac용 앱이라도 영향받는 버전과 해결 버전이 달라요. Windows와 Android 역시 별도 기준을 적용하므로 다른 환경의 버전 번호를 보고 업데이트 여부를 판단하면 안 돼요.

공격용 링크를 열거나 변조된 웹페이지와 상호작용하는 행동이 공격 조건에 포함돼요. 따라서 출처가 불분명한 링크를 통한 접속을 피하는 주의와 앱 업데이트가 함께 필요해요. Adobe Commerce 계열을 사용하는 서비스의 일반 이용자는 서비스 운영자에게 업데이트 적용 여부를 문의할 수 있어요. 취약점 공지만으로 해당 서비스에서 개인정보 유출이 발생했다고 단정할 수는 없어요.

개발자

Adobe Commerce와 Magento Open Source를 다루는 개발자는 현재 버전 계열과 실제 적용된 보안 업데이트를 함께 확인해야 해요. 해결 기준에는 2026-jul이라는 표기가 포함돼 있어요. 기존 p 표기가 붙은 버전과 이름이 비슷하다는 이유로 해결됐다고 판단하지 말고, 해당 계열의 해결 버전과 적용 내역을 대조하세요.

Adobe Commerce B2B와 Adobe Commerce Events도 별도 확인 대상이에요. Adobe Commerce 본체의 버전을 확인한 결과만으로 관련 구성요소의 조치까지 끝났다고 판단하기 어려워요. 특히 Adobe Commerce Events는 영향 범위가 1.6.0 이상 1.20.0 이하이고 해결 기준은 1.21.0 이상이므로, 본체와 다른 버전 기준으로 점검해야 해요.

서버·장비 담당자

서버 담당자는 Adobe Commerce, Adobe Commerce B2B, Magento Open Source, Adobe Commerce Events의 설치 현황을 구분하고 CVE-2026-48356의 조치 여부를 확인하세요. CISA KEV의 등재일은 2026-10-27이고 조치기한은 2026-11-10으로 기재돼 있어요. 이 날짜를 조직의 업데이트 일정 검토에 활용하되, 모든 사용자에게 동일한 의무 기한이 적용된다고 해석하지는 마세요.

단말 담당자는 Adobe Connect Desktop을 Mac Intel·Mac Silicon·Windows별로 나누고, Adobe Connect Mobile의 Android 설치 현황도 확인하세요. CVE-2026-48360은 CVE-2026-48356과 별도의 취약점이므로 Commerce 계열 조치와 구분해 완료 여부를 관리해야 해요. CVE-2026-48356의 랜섬웨어 사용 여부는 Unknown으로 표시돼 있으며, 이는 랜섬웨어 사용이 확인됐다는 뜻도, 사용되지 않았다는 뜻도 아니에요.

지금 할 일

1. 사용 중인 제품과 버전, Adobe Connect Desktop의 실행 환경을 확인하세요. CVE-2026-48356은 실제 공격에 쓰이고 있으므로 Adobe Commerce 계열의 영향 여부 확인과 업데이트 일정을 우선 검토하세요. Adobe Commerce와 Magento Open Source는 아래 버전 확인 명령을 활용할 수 있어요.
2. Adobe Commerce는 사용하는 계열에 맞춰 대조하세요. 2.4.4-p18 이하의 해결 기준은 2.4.4-2026-jul 이상, 2.4.5-p17 이하는 2.4.5-2026-jul 이상, 2.4.6-p15 이하는 2.4.6-2026-jul 이상이에요. 2.4.7-p10 이하는 2.4.7-2026-jul 이상, 2.4.8-p5 이하는 2.4.8-2026-jul 이상, 2.4.9는 2.4.9-2026-jul 이상으로 조치하세요.
3. Adobe Commerce B2B도 별도로 대조하세요. 1.3.3-p18 이하의 해결 기준은 1.3.3-2026-jul 이상, 1.3.4-p17 이하는 1.3.4-2026-jul 이상이에요. 1.4.2-p10 이하는 1.4.2-2026-jul 이상, 1.5.2-p5 이하는 1.5.2-2026-jul 이상, 1.5.3은 1.5.3-2026-jul 이상으로 조치하세요.
4. Magento Open Source는 2.4.6-p15 이하이면 2.4.6-2026-jul 이상, 2.4.7-p10 이하이면 2.4.7-2026-jul 이상, 2.4.8-p5 이하이면 2.4.8-2026-jul 이상, 2.4.9이면 2.4.9-2026-jul 이상이 해결 기준이에요. Adobe Commerce Events는 1.6.0 이상 1.20.0 이하가 영향 범위이고, 1.21.0 이상으로 조치하세요.
5. Adobe Connect Desktop (Mac Intel)은 2026.01.39 이하이면 2026.10.170 이상으로, Adobe Connect Desktop (Mac Silicon)은 2026.08.45 이하이면 2026.10.66 이상으로 업데이트하세요. Adobe Connect Desktop (Windows)은 2026.8.51 이하이면 2026.9.61 이상이 해결 기준이에요. Adobe Connect Mobile (Android)은 4.4 이하이면 4.5 이상으로 업데이트하세요.
6. 제품별 적용 대상과 업데이트 준비 사항을 제조사 공지에서 확인하고, 제조사 공지의 업데이트 절차를 따르세요. Commerce 계열에서는 본체와 사용 중인 B2B·Events 구성요소의 조치 범위를 함께 확인하고, Connect에서는 단말 환경에 맞는 업데이트를 적용하세요.
7. 업데이트가 끝나면 실제 실행 중인 제품의 버전과 적용 결과를 다시 확인하세요. 제품명, 버전, 관련 CVE와 확인 결과를 함께 기록하면 Commerce 계열과 Connect 중 어느 쪽의 조치가 남았는지 구분하기 쉬워요.

bin/magento --version

바로 업데이트하기 어렵다면

• Adobe Commerce 계열의 업데이트가 지연된다면 제조사 공지에서 적용 가능한 임시 조치를 확인한 뒤, 운영에 필요한 범위로 접근을 제한하고 불필요한 외부 노출을 줄이는 방안을 검토하세요. 이러한 조치만으로 CVE-2026-48356이 해결됐다고 판단하지는 마세요.

업데이트 후 확인

• Adobe Commerce와 Magento Open Source는 버전 확인 결과와 보안 업데이트 적용 내역을 해당 계열의 해결 기준에 대조하세요. 명령 출력만으로 2026-jul 업데이트 적용 여부가 명확하지 않다면 제조사 공지의 확인 절차를 따르세요.
• Adobe Commerce B2B와 Adobe Commerce Events를 사용한다면 각각의 버전과 업데이트 결과를 확인하세요. Adobe Commerce 본체의 조치 완료 여부와 별개로 확인해야 해요.
• Adobe Connect Desktop은 실제 사용하는 Mac Intel·Mac Silicon·Windows 환경별 해결 버전에 도달했는지 확인하세요. Adobe Connect Mobile의 Android 환경도 4.5 이상인지 확인하세요.
• 업데이트한 Commerce 계열 서비스와 Connect 앱의 기존 기능이 정상적으로 동작하는지 확인하세요. 업데이트 후 정상 동작과 과거 침해 여부는 다른 확인 항목이므로, 정상 동작만으로 이전 공격이 없었다고 결론 내리지 마세요.

해외 동향 (NVD·CISA KEV)

실제 공격에 쓰이고 있음(CISA KEV 등재) — 미국 사이버보안·기반시설보안청(CISA)이 실제 악용을 확인한 취약점 목록에 CVE-2026-48356(2026.10.27 등재)이 올라 있어요.

제조사 공식 공지

• https://www.adobe.com/trust/security/products/commerce/apsb26-73.html
• https://www.adobe.com/trust/security/products/connect/apsb26-182.html

자주 묻는 질문

Q. 실제 공격에 쓰인 취약점은 무엇인가요?

CVE-2026-48356이에요. 실제 공격에 쓰이고 있음(CISA KEV 등재)이 확인되며, 등재일은 2026-10-27이에요. 조치기한은 2026-11-10으로 기재돼 있어요. 랜섬웨어 사용 여부는 Unknown이므로 랜섬웨어 악용까지 확인됐다고 설명할 수는 없어요.

Q. 링크를 열어야 공격된다면 업데이트를 미뤄도 되나요?

사용자 행동이 필요하다는 조건만으로 업데이트를 미룰 근거가 되지는 않아요. CVE-2026-48356과 CVE-2026-48360은 공격용 링크를 열거나 변조된 웹페이지와 상호작용할 때 악용될 수 있어요. 링크에 주의하면서 해당 제품의 해결 버전으로 업데이트하세요.

Q. 버전 번호가 목록과 다르면 안전한가요?

목록에 직접 적혀 있지 않다는 이유만으로 안전하다고 판단할 수는 없어요. 영향 범위에는 이하 또는 이상과 이하로 표시된 구간이 있고, Adobe Commerce와 Adobe Commerce B2B, Magento Open Source는 계열별 해결 기준이 달라요. 정확한 제품과 계열을 확인한 뒤 제조사 공지에서 적용 대상과 해결 여부를 확인하세요.