Adobe가 온라인 쇼핑몰 구축 플랫폼인 Adobe Commerce와 Magento Open Source에서 발견된 최고 심각도(CVSS 10.0) 취약점 CVE-2026-75650을 긴급 패치했습니다. 'StyleSmuggler'라는 이름이 붙은 이 취약점은 인증 없이 서버에서 원하는 코드를 실행할 수 있게 해 주며, 2026년 9월 4일부터 실제 공격에 활용된 것이 확인됐습니다. 공격자들은 이 취약점을 이용해 Rust 기반 백도어(원격에서 서버를 제어하는 악성 프로그램)와 PHP 웹셸(웹을 통해 서버 명령을 실행하는 도구)을 피해 서버에 심었습니다. 첫 공격이 보고된 지 불과 50분 만에 추가 서버가 침해된 사례도 있어 매우 빠른 공격 확산이 우려됩니다. Adobe는 긴급 핫픽스(VULN-39341)를 배포했으며, 영향받는 버전 사용자는 즉시 패치 적용과 암호화 키 교체를 해야 합니다.
Magento의 템플릿 처리 시스템을 악용한 PHP 코드 인젝션으로 인증 없이 원격 코드 실행이 가능한 제로데이 취약점(CVE-2026-75650, CVSS 10.0)이 실제 공격에 악용됐다. 공격은 2026년 9월 4일부터 확인됐으며, Adobe는 긴급 패치를 배포했다.
공격자가 인증 없이 서버를 완전히 원격 제어할 수 있으며, Rust 기반 Linux 백도어와 PHP 웹셸이 피해 서버에 배포됐다. 첫 공격 보고 50분 만에 추가 Magento 서버가 침해되는 등 빠른 피해 확산이 확인됐다.
Magento의 템플릿 처리 및 의존성 주입(dependency injection) 코드를 악용한 PHP 코드 인젝션이 원인이다. '결제 실패 알림' 이메일 생성 과정에서 공격자가 삽입한 코드가 실행되는 구조적 결함이다.
Adobe가 긴급 핫픽스 VULN-39341을 배포했다. 패치 적용과 함께 암호화 키 교체가 필수로 요구된다.
Adobe Commerce 및 Magento Open Source의 영향받는 모든 버전 운영자는 즉시 repo.magento.com에서 VULN-39341 패치를 내려받아 적용하고, 암호화 키를 반드시 교체해야 한다. 이미 서버가 침해됐을 가능성도 있으므로 웹셸 및 백도어 설치 여부 점검도 병행해야 한다.
본문
Ravie Lakshmanan · 2026년 9월 8일 · 취약점 / 웹 보안
Adobe가 월요일, 실제 악용이 확인된 Adobe Commerce 및 Magento Open Source의 최고 심각도 결함을 해결하는 보안 패치를 배포했다.
CVE-2026-75650(CVSS 점수: 10.0)으로 추적되는 이 취약점은 Sansec에 의해 'StyleSmuggler'로 명명되었으며, 2026년 9월 4일부터 제로데이 악용이 시작된 것으로 밝혀졌다.
Adobe는 "이번 업데이트는 임의 코드 실행으로 이어질 수 있는 치명적 취약점을 해결한다"고 밝히며, "CVE-2026-75650가 Adobe Commerce 판매자를 표적으로 실제 환경에서 악용되고 있다는 사실을 인지하고 있다"고 덧붙였다.
이 결함의 핵심은 Magento의 템플릿 시스템을 PHP 코드 인젝션으로 남용하여 "결제 거래 실패 알림" 이메일을 생성하고, 그 과정에서 코드 실행을 유발하는 방식이다.
영향받는 버전은 다음과 같다:
- Adobe Commerce 2.4.9-2026-aug 이하, 2.4.8-2026-aug 이하, 2.4.7-2026-aug 이하, 2.4.6-2026-aug 이하, 2.4.5-2026-aug 이하, 2.4.4-2026-aug 이하
- Adobe Commerce B2B 1.5.3-2026-aug 이하, 1.5.2-2026-aug 이하, 1.4.2-2026-aug 이하, 1.3.4-2026-aug 이하, 1.3.3-2026-aug 이하
- Magento Open Source 2.4.9-2026-aug 이하, 2.4.8-2026-aug 이하, 2.4.7-2026-aug 이하, 2.4.6-2026-aug 이하
패치는 핫픽스 형태로 배포되었으며, 아래 링크에서 다운로드할 수 있다: repo.magento[.]com/patch/VULN-39341-composer-patches.zip
Adobe는 "영향받는 제품 및 버전의 취약점을 해결하려면 VULN-39341 패치(버전에 따라 해당하는 것)를 적용하고 암호화 키를 교체해야 한다"고 밝혔다.
이번 조치는 네덜란드 이커머스 보안 기업이 위협 행위자들이 CVE-2026-75650를 악용해 외부 서버에 접속하여 추가 명령을 대기하는 Rust 기반 Linux 백도어를 배포한다는 사실을 공개한 지 며칠 만에 이루어진 것이다. 별도로, 이 취약점은 취약한 사이트에 임의 PHP 코드를 실행할 수 있는 웹셸을 작성하는 PHP 드로퍼(dropper)를 배포하는 데도 악용됐다.
네덜란드에 기반을 둔 Disrex에 따르면, 이커머스 개발 플랫폼이 관리하는 Magento 서버 한 대가 2026년 9월 4일 오후 10시 20분(UTC) StyleSmuggler 최초 악용이 보고된 지 50분 만에 침해된 것으로 알려졌다.
Disrex는 "StyleSmuggler는 Magento 자체의 템플릿 처리 및 의존성 주입 코드를 인증 없이 원격 코드를 실행할 수 있는 체인으로 전환시킨다"고 설명했다.
같은 소식, 다른 매체 보도1건
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
