오픈소스 지리공간 메타데이터 카탈로그인 GeoNetwork에서 두 개의 취약점(CVE-2026-63219, CVE-2026-58400)을 연결하면 로그인 없이도 서버를 원격으로 장악할 수 있는 RCE(원격 코드 실행) 공격이 가능한 것으로 밝혀졌습니다. 첫 번째 취약점은 인증 없이 악성 스타일시트 파일을 업로드할 수 있게 하고, 두 번째는 그 파일이 실행될 때 운영체제 명령까지 수행하도록 합니다. 인터넷에 노출된 취약 버전 GeoNetwork 121개 중 89%가 정부·군·국가기관과 관련된 것으로 확인되어 파급력이 큽니다. GeoNetwork 4.4.12 및 4.2.17 버전에서 수정되었으므로 해당 소프트웨어를 운영 중인 기관은 즉시 업그레이드하거나, 그 전까지 리버스 프록시에서 formatter 엔드포인트의 쓰기 요청을 차단해야 합니다.
GeoNetwork 4.0.6~4.4.11 및 4.2.x~4.2.16 버전에서 formatter 업로드 엔드포인트의 인증 검사 누락(CVE-2026-63219)과 Saxon XSLT 엔진의 안전하지 않은 설정(CVE-2026-58400)을 연계한 비인증 원격 코드 실행 취약점 체인이 공개됨.
인터넷에 노출된 취약 버전 GeoNetwork 121개(39개국) 중 89%가 정부·군·국가기관 관련 배포이며, 유럽 INSPIRE 지오포털 백엔드 등 각국 공간정보 인프라가 영향권에 있음.
formatter 업로드 엔드포인트에서 인증 검사가 누락(CVE-2026-63219, CVSS 8.6)되어 누구나 악성 .xsl 파일을 업로드할 수 있고, Saxon XSLT 엔진이 Java 확장 함수를 차단하지 않아 업로드된 스타일시트로 OS 명령을 실행 가능(CVE-2026-58400, CVSS 9.1)함.
2026년 7월 8일 GeoNetwork 4.4.12 및 4.2.17로 수정 배포됨. 즉시 업그레이드 권장. 임시 조치로 Apache httpd 또는 Nginx 리버스 프록시에서 /geonetwork/srv/api/formatters 엔드포인트에 대한 POST·PUT·PATCH 요청을 차단할 수 있음.
현재 CISA KEV 미등재로 실제 악용은 미확인이나 CVSS 9.1의 비인증 RCE인 만큼 GeoNetwork 운영 기관은 즉시 버전을 확인하고 패치를 적용해야 함. 과거 GeoServer 유사 취약점(CVE-2024-36401, CVE-2025-58360)이 봇넷·크립토마이너·백도어에 실제 악용된 전례가 있어 선제 대응이 필수.
본문
Swati Khandelwal 2026년 9월 2일 · 취약점 / 웹 보안
GeoNetwork의 두 가지 취약점을 연결하면 오픈소스 지리공간 메타데이터 카탈로그에서 인증 없이 원격 코드 실행(RCE)이 가능합니다. 이 소프트웨어는 다수의 정부·기관 지오포털 백엔드로 사용되고 있습니다.
프로젝트 측은 2026년 7월 8일 버전 4.4.12 및 4.2.17에서 수정 버전을 배포하고, 8월 31일에 취약점 상세 내용을 공개했습니다.
GeoNetwork는 유엔 식량농업기구(FAO)에서 시작된 소프트웨어로, 현재는 OSGeo(Open Source Geospatial Foundation)가 유지 관리합니다. 유럽 전역과 그 이상 지역에서 수많은 공간 데이터 인프라(SDI) 구축의 핵심 구성 요소로 사용되며, 유럽 INSPIRE 지오포털의 백엔드도 포함됩니다.
이 공격 체인은 인증 검사 누락과 안전하지 않은 변환 엔진을 조합합니다. 첫 번째 취약점인 CVE-2026-63219(CVSS 점수: 8.6)는 formatter 업로드 엔드포인트의 인증 검사 누락입니다.
이 비인증 파일 업로드 결함으로 인해 익명 사용자가 GeoNetwork formatter 디렉터리에 임의의 .xsl 또는 .zip formatter 파일을 쓸 수 있으며, 이 자체만으로도 서버 저장소에 대한 무단 쓰기 접근에 해당합니다.
프로젝트 측은 보안 권고문에서 "비인증 공격자가 임의의 .xsl 또는 .zip formatter 파일을 서버에 업로드할 수 있다"고 밝혔습니다.
두 번째 취약점인 CVE-2026-58400(CVSS 점수: 9.1)은 formatter를 렌더링하는 데 사용되는 Saxon XSLT(Extensible Stylesheet Language Transformations) 프로세서의 안전하지 않은 설정입니다.
이 엔진은 보안 처리가 활성화되어 있고 Java 확장 함수가 비활성화된 상태로 실행되어야 하지만, 실제로는 엔진이 로드하는 스타일시트가 java.lang.Runtime.exec() 또는 java.lang.ProcessBuilder를 호출해 GeoNetwork 프로세스 사용자 권한으로 운영체제 명령을 실행할 수 있습니다.
이 두 번째 결함만으로는 formatter를 업로드할 권한이 필요하기 때문에 CVSS 점수가 높은 권한 필요로 책정되어 있습니다. 그러나 업로드 결함과 연결하면 그 전제 조건이 제거되는데, 업로드 엔드포인트가 인증 없이도 접근 가능하기 때문입니다.
공격자는 먼저 보호되지 않은 엔드포인트를 통해 악성 formatter를 업로드합니다. 이후 공개 레코드에 GET 요청을 한 번 보내면 Saxon 엔진이 해당 스타일시트를 실행하도록 트리거되어 코드 실행이 이루어집니다. 취약점을 발견·보고한 보안 업체 Ethiack의 연구원 Rafael Castilho는 formatter 엔드포인트가 리팩터링되고 인증 코드가 제거된 버전 4.0.6부터 이 체인이 가능하다고 밝혔습니다.
Ethiack는 39개국에서 영향을 받는 버전이 설치된 인터넷 노출 GeoNetwork 배포 인스턴스 121개를 식별했으며, 그 중 89%가 정부·군·국가기관 관련이라고 밝혔습니다.
이 수치는 취약한 버전을 실행 중인 노출 인스턴스를 나타낼 뿐, 실제 피해자나 침해가 확인된 사례는 아닙니다. 또한 이 지문 분석은 해당 벤더의 단일 출처 자료임을 유의해야 합니다.
4.4.11 이하의 모든 4.4.x 릴리스와 4.2.16 이하의 모든 4.2.x 릴리스가 영향을 받으며, 4.4.12 및 4.2.17에서 수정되었습니다.
프로젝트 측은 릴리스 공지에서 "모든 사용자는 가능한 한 빨리 4.4.12 또는 4.2.17로 업그레이드할 것을 강력히 권장한다"고 밝혔습니다.
업데이트를 적용하기 전까지 관리자는 리버스 프록시에서 formatter 엔드포인트에 대한 쓰기 메서드를 차단하여 관리 콘솔을 통한 정상적인 formatter 업로드도 함께 차단할 수 있습니다.
권고문에 제시된 임시 차단 규칙은 다음과 같습니다:
- Apache httpd —
/geonetwork/srv/api/formatters경로에 대한 POST, PUT, PATCH 요청 거부. - Nginx — 동일 경로를 GET, HEAD, OPTIONS 메서드만 허용하도록 제한.
취약점은 권고문 공개 약 8주 전에 수정되었습니다. The Hacker News는 공개 시점을 기준으로 CISA의 KEV(Known Exploited Vulnerabilities, 실제 악용 확인 취약점) 목록에서 해당 GeoNetwork 취약점에 대한 언급을 찾지 못했으며, 야생에서의 실제 악용에 관한 공개 보고도 확인되지 않았습니다.
이번 공개는 더 넓은 지리공간 스택에서 보안 문제가 이어지는 가운데 나온 것입니다. 지난해 심각한 GeoServer 취약점(CVE-2024-36401, CVSS 점수: 9.8)이 봇넷·암호화폐 채굴기·SideWalk 백도어에 악용된 바 있으며, GeoServer XML 외부 엔티티(XXE) 취약점(CVE-2025-58360)은 실제 악용 증거가 확인된 후 2025년 12월 CISA KEV 목록에 등재되었습니다. 지난달에는 GeoServer에서 별도의 비인증 SQL 인젝션을 통한 RCE가 제로데이로 공개된 직후 활발한 탐색(probing)이 시작되기도 했습니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
