Adobe의 전자상거래 플랫폼인 Magento와 Adobe Commerce에서 최고 심각도의 제로데이 취약점(CVE-2026-75650, 'StyleSmuggler')이 발견되어 9월 4일부터 실제 공격에 악용되고 있습니다. 공격자들은 이 취약점을 이용해 서버에 백도어(원격 조종용 악성 프로그램)를 심고 있으며, 두 번째 공격 그룹은 PHP 웹셸(서버를 원격 제어하는 소형 악성 코드)까지 추가로 설치하고 있습니다. Adobe는 긴급 보안 핫픽스(VULN-39341)를 배포했으며, 영향을 받는 버전을 사용 중인 관리자는 즉시 적용해야 합니다. 핫픽스 설치 후에는 관리자 비밀번호, API 키, SSH 키 등 모든 자격 증명을 반드시 교체해야 합니다.
Adobe Commerce 및 Magento 다수 버전에서 최고 심각도 제로데이 취약점 CVE-2026-75650(StyleSmuggler)이 발견됐으며, 9월 4일부터 최소 두 개의 공격 그룹이 이를 악용해 백도어 및 PHP 웹셸을 서버에 심고 있다.
임의 코드 실행(RCE, 원격에서 서버를 마음대로 제어할 수 있는 공격)이 가능하며, Adobe Commerce 2.4.4~2.4.9, Magento Open Source 2.4.6~2.4.9 등 광범위한 버전이 영향을 받는다. 백도어는 NTP 서버로 위장해 탐지를 회피하며, 서버 정보 탈취 및 지속적 원격 접근을 허용한다.
Adobe Commerce 및 Magento 내부의 코드 실행 취약점(CVE-2026-75650)으로, 구체적인 기술적 원인은 아직 공개되지 않았다.
Adobe가 긴급 핫픽스 VULN-39341을 배포했다. 설치 후 유지보수 모드 활성화, cron 작업 일시 중단, 관리자 비밀번호·GraphQL 토큰·OAuth 시크릿·결제 게이트웨이 API 키·DB 자격 증명·SSH 키 등 모든 시크릿 교체가 권고된다.
영향받는 버전 운영 중이라면 VULN-39341 핫픽스를 즉시 적용해야 한다. 침해 여부 확인 시 'Payment Transaction Failed Reminder' 이메일 발송 여부를 단서로 활용할 수 있다. 핫픽스는 2026년 8월 릴리스 버전에서만 공식 검증됐으므로 이전 버전 사용자는 호환성을 별도 확인해야 한다.
본문
Adobe가 CVE-2026-75650에 대한 긴급 수정 패치를 배포했습니다. 이 취약점은 'StyleSmuggler'라고 불리는 최고 심각도의 제로데이로, 현재 실제 공격에 악용되고 있으며 Magento 및 Adobe Commerce의 여러 버전에 영향을 미칩니다.
전자상거래 보안 기업 Sansec은 이 취약점이 적어도 9월 4일부터 취약한 웹사이트에 백도어를 심는 공격에 활용됐다고 밝혔습니다.
해당 백도어는 명령 및 제어(C2) 호스트를 일반적인 NTP(Network Time Protocol, 네트워크 시간 동기화) 서버로 위장했습니다. 그러나 침해된 호스트에는 여전히 "Payment Transaction Failed Reminder" 이메일 발송과 같은 뚜렷한 활동 흔적이 남습니다.
Adobe는 어제 업데이트를 통해 Adobe Commerce와 Magento의 StyleSmuggler 취약점을 해결하는 보안 수정 패치를 배포했습니다.
Adobe의 보안 권고문에는 "이번 업데이트는 임의 코드 실행으로 이어질 수 있는 치명적 취약점을 해결합니다. Adobe는 CVE-2026-75650가 실제 환경에서 악용되고 있음을 인지하고 있습니다"라고 명시되어 있습니다.
Adobe에 따르면, 이 취약점은 다음 버전의 전자상거래 제품에 영향을 미칩니다:
- Adobe Commerce 2.4.4부터 2.4.9까지, 각 브랜치의 2026년 8월 릴리스 및 이전 버전 포함
- Adobe Commerce B2B 1.3.3부터 1.5.3까지, 각 브랜치의 2026년 8월 릴리스 및 이전 버전 포함
- Magento Open Source 2.4.6부터 2.4.9까지, 각 브랜치의 2026년 8월 릴리스 및 이전 버전 포함
Adobe는 이번 업데이트에 최우선 등급을 부여했으며, CVE-2026-75650 해결을 위해 VULN-39341 핫픽스를 즉시 설치할 것을 권고합니다.
핫픽스 설치 후 관리자는 유지보수 모드를 활성화하고 cron 작업을 일시 중단한 뒤, 관리자 비밀번호, GraphQL 통합 토큰, OAuth 클라이언트 시크릿, 결제 게이트웨이 API 자격 증명, 데이터베이스 자격 증명, SSH 키, API 키 등 모든 시크릿을 교체해야 합니다.
교체 후에는 캐시를 초기화하고 cron 실행을 재개한 뒤 유지보수 모드를 해제할 것을 권장합니다.
Adobe는 이 핫픽스가 영향받는 제품 브랜치의 2026년 8월 릴리스에서만 테스트됐으며, 다른 릴리스에서도 작동할 수 있으나 호환성은 확인되지 않았다고 밝혔습니다.
Sansec은 최초 보고서 업데이트를 통해, 관련 없는 별도의 도구를 사용하는 두 번째 공격자가 CVE-2026-75650를 악용해 485바이트 크기의 PHP 웹셸을 배포하는 사례도 관찰됐다고 전했습니다.
해당 악성코드는 기본적인 서버 정보를 수집하고, pub/media 경로에 쓰기 권한이 있는지 확인한 뒤, 오픈소스 도구 Interactsh를 활용한 보안 테스트에서 주로 사용되는 oast.site 서브도메인으로 데이터를 유출합니다.
악용 활동이 증가하고 있어, 관리자들은 가능한 한 빨리 Adobe의 핫픽스 또는 완화 조치를 적용할 것을 강력히 권고합니다.
같은 소식, 다른 매체 보도1건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
