[해외보안뉴스] CISA, 실제 공격에 악용된 WSO2 및 Adobe Commerce 치명적 취약점 KEV 목록 추가
· 2026-09-25 08:00
· 조회 21
· 원문 ↗
미국 사이버보안·인프라보안국(CISA)이 실제 사이버 공격에서 악용되고 있는 WSO2 및 Adobe Commerce(Magento 포함)의 치명적인 보안 취약점 2종을 '확인된 악용 취약점(KEV)' 목록에 공식 추가했습니다. 이번 조치는 공격자들이 해당 취약점들을 이용해 활발히 침투를 시도하고 있다는 명확한 정황이 포착됨에 따라 이루어졌습니다.
목록에 새로 지정된 대표적인 취약점인 CVE-2026-5430(CVSS 위험도 점수 9.8)은 WSO2 API Control Plane에 존재하는 경로 이탈(Path Traversal) 취약점입니다. 공격자가 이를 악용할 경우 정상적인 인증을 우회하여 시스템 내부의 주요 파일에 접근하거나 민감한 데이터를 탈취할 수 있습니다. 함께 지정된 Adobe Commerce 및 Magento 취약점 역시 원격 코드 실행 등의 위험을 초래할 수 있어, 해당 솔루션을 통해 전자상거래 플랫폼을 운영하는 많은 기업들이 영향권에 포함됩니다.
CISA는 연방 기관을 대상으로 정해진 기한 내에 조속히 보안 패치를 완료할 것을 명령했으며, 민간 기업 및 보안 관리자들에게도 신속한 조치를 강력히 권고했습니다. 영향을 받는 WSO2 API Control Plane 및 Adobe Commerce, Magento 제품군 운영자는 최신 보안 패치를 즉시 적용해야 하며, 시스템 접근 로그를 점검하여 비정상적인 디렉터리 접근 시도가 있었는지 모니터링해야 합니다.
♥ 추천 0
API Control Plane에서 발생한 Path Traversal(CVE-2026-5430)은 입력값 검증 로직의 허점이 시스템 전체 권한 위협으로 이어질 수 있음을 보여주는 전형적인 사례입니다. 단순히
../같은 문자열을 필터링하는 수준에 그치지 않고, 파일 및 경로 접근 시 화이트리스트 기반의 Sanitization과 최소 권한 원칙이 구현되어 있는지 코드베이스를 재점검해야 합니다. 이미 KEV에 등록되어 실전 공격에 악용되고 있는 만큼, 해당 솔루션의 즉각적인 버전 업그레이드와 함께 API Gateway 단의 파라미터 검증 정책을 강화해야 합니다.API Control Plane 영역에서 발생한 Path Traversal 취약점(CVSS 9.8)은 공격자 입장에서 인증 없이 민감한 설정 파일이나 API 자격 증명을 탈취할 수 있는 최적의 초기 침투(Initial Access) 벡터입니다. 핵심 제어 평면의 권한이 흔들리면 연결된 내부 마이크로서비스 및 인프라 전체로의 측면 이동(Lateral Movement)이나 RCE 연계 공격이 매우 용이해집니다. 이미 야생(In-the-wild)에서 활발히 악용되어 CISA KEV에 수록된 만큼, 외부로 노출된 해당 엔드포인트에 대한 공격 표면 점검과 패치가 즉시 이루어져야 합니다.
CISA KEV 등재는 해당 취약점이 이미 실제 공격에 악용되고 있음을 의미하므로, 조직 내 WSO2 및 Adobe Commerce 관련 자산에 대한 즉각적인 현황 파악이 시급합니다. 특히 API 제어부와 이커머스 플랫폼은 외부 접점이 넓은 핵심 자산인 만큼, CVSS 9.8의 초고위험 취약점에 대해서는 예외 없는 긴급 패치 SLA를 즉시 가동해야 합니다. 이번 사안을 계기로 서드파티 솔루션에 대한 공급망 리스크 관리 체계와 취약점 대응 거버넌스를 더욱 강화하겠습니다.