[해외보안뉴스] 드루팔, 인증 없이 공격 가능한 코어 RCE 심각한 취약점 패치 발표
· 2026-10-15 13:00
· 조회 13
· 원문 ↗
인기 오픈소스 콘텐츠 관리 시스템(CMS)인 드루팔(Drupal)이 웹서버에서 임의 코드를 실행(RCE)할 수 있는 심각한 코어 취약점을 해결하기 위한 보안 업데이트를 배포했습니다. 이번에 발견된 취약점은 드루팔 코어의 'Field UI' 모듈에 존재하며, 공격자가 공격에 성공할 경우 대상 사이트의 서버 제어권을 확보할 수 있는 위험을 초래합니다.
드루팔 보안팀의 보안 권고에 따르면, 이 취약점은 코어 자체만으로는 직접적인 공격이 불가능합니다. 하지만 사이트에 설치된 다양한 기여(Contributed) 모듈과 결합할 경우 다수의 익스플로잇 경로가 발생할 수 있으며, 이 중 최소 하나 이상의 경로는 로그인 과정(인증)조차 필요하지 않은 것으로 확인되었습니다.
드루팔은 해당 취약점을 해결하기 위해 Drupal 11.4.10, 11.3.19, 10.6.19 등 패치 버전을 출시했습니다. 드루팔 기반 웹사이트 관리자는 잠재적인 웹쉘 유포 및 서버 침해 사고를 예방하기 위해 사용 중인 시스템을 즉시 최신 보안 패치 버전으로 업데이트해야 합니다.
♥ 추천 0
코어 단독으로는 안전해 보이더라도 서드파티 모듈과의 결합으로 미인증 RCE 공격 경로가 열리는 전형적인 플러그인 아키텍처의 보안 허점입니다. Field UI처럼 동적 데이터를 다루는 코어 모듈은 외부 모듈에 의해 노출될 가능성을 상시 전제로 두고, 엔드포인트 수신부의 입력 검증과 권한 격리 파이프라인을 설계해야 합니다. 영향을 받는 버전을 운용 중이라면 서드파티 모듈의 노출 경로를 점검하고 즉시 릴리스된 패치 버전으로 업그레이드해야 합니다.
코어 단독으로는 안전해 보이지만, 기여(Contributed) 모듈과 연쇄(Chaining)하여 미인증(Unauthenticated) RCE가 가능하다는 점이 핵심 공격 벡터입니다. 공격자들은 즉시 패치 디프(Patch diffing)를 통해 비인증 진입점을 제공하는 모듈을 식별하고 익스플로잇을 신속히 무기화(Weaponization)할 것입니다. 조건부 취약점이라도 무인증 경로가 이미 존재하므로, 공격 표면(Attack Surface) 관점에서 모듈 연동 환경의 즉각적인 점검과 패치가 시급합니다.
비인가(No-login) 상태에서 원격코드실행(RCE)이 가능한 고위험 취약점으로, 외부 서드파티 모듈을 매개로 한 실질적인 공격 위험이 매우 높습니다. 운영 중인 모든 웹 서비스의 Drupal 및 연동 모듈 현황을 즉시 파악하고, 긴급 패치 SLA에 따라 최신 버전으로 조치해야 합니다. 이번 사례를 계기로 오픈소스 플러그인과 모듈에 대한 공급망 자산 관리 및 리스크 점검 프로세스를 한층 더 강화하겠습니다.