WSO2·Adobe Commerce 취약점, 실제 공격에 악용돼 CISA KEV 등재

한 줄 요약

미국 사이버보안 당국(CISA)이 WSO2 제품군과 Adobe Commerce·Magento에서 발견된 심각한 보안 취약점 2건을 실제 공격에 악용된 사례가 확인돼 KEV(실제 악용 확인 목록)에 등재했습니다. WSO2의 취약점(CVE-2026-5430)은 파일을 마음대로 업로드하고 원격에서 시스템을 제어할 수 있는 위험한 결함으로, 최소 9월 13일부터 실제 공격 시도가 포착됐습니다. Adobe Commerce·Magento의 취약점(CVE-2026-71362)은 공격자가 다른 고객 계정으로 세션을 가로채 개인정보에 접근할 수 있게 합니다. 미국 연방 민간기관들은 9월 27일까지 두 취약점에 대한 패치를 완료해야 하며, 해당 제품을 사용하는 모든 조직도 즉시 업데이트를 적용할 것이 권고됩니다.

사건

CISA가 WSO2 API 관련 제품(CVE-2026-5430, CVSS 9.8)과 Adobe Commerce·Magento(CVE-2026-71362, CVSS 9.1)의 취약점 2건을 KEV에 등재했다. 두 취약점 모두 실제 공격 시도가 확인됐다.

영향

WSO2 취약점은 인증 없이 임의 파일을 업로드하고 원격 코드 실행(RCE)이 가능하다. Adobe Commerce·Magento 취약점은 공격자가 다른 고객 계정으로 세션을 전환해 개인정보와 민감 데이터에 접근할 수 있다.

원인

WSO2는 경로 탐색(Path Traversal) 취약점으로 파일 업로드 제한이 우회된다. Adobe Commerce·Magento는 인가(Authorization) 로직 결함으로 권한 상승이 가능하다.

대응

CISA는 미국 연방 민간기관(FCEB)에 9월 27일까지 패치 적용을 지시했다. 일반 기업도 즉시 해당 제품의 보안 업데이트를 적용해야 한다.

실무 포인트

WSO2 API Control Plane·API Manager·Traffic Manager·Universal Gateway 및 Adobe Commerce·Magento를 운영 중이라면 즉시 벤더 공식 패치를 확인하고 적용해야 한다. KEV 등재는 실제 악용이 공식 확인된 상태이므로 '빠른 시일 내'가 아니라 '즉시' 대응이 원칙이다.

본문

Ravie Lakshmanan · 2026년 9월 25일 · 취약점 / 웹 보안

미국 사이버보안 및 인프라 보안국(CISA)은 목요일, WSO2와 Adobe Commerce·Magento에 영향을 미치는 심각한 보안 결함 2건을 실제 악용 증거를 근거로 KEV(Known Exploited Vulnerabilities, 실제 악용 확인 취약점) 목록에 추가했다.

해당 취약점은 다음과 같다:

CVE-2026-5430 (CVSS 점수: 9.8) - WSO2 API Control Plane, API Manager, Traffic Manager, Universal Gateway의 경로 탐색(Path Traversal) 취약점으로, 무제한 파일 업로드를 허용하고 원격 코드 실행(RCE)으로 이어질 수 있다.
CVE-2026-71362 (CVSS 점수: 9.1) - Adobe Commerce 및 Magento의 잘못된 인가(Incorrect Authorization) 취약점으로, 공격자가 사용자 상호작용 없이 민감한 리소스에 대한 상승된 접근 권한을 획득하는 데 이 취약점을 악용할 수 있다.

CVE-2026-5430의 KEV 등재는 watchTowr가 최소 2026년 9월 13일부터 자사 허니팟에서 실제 악용 시도를 관측하고 있다고 밝힌 지 약 일주일여 만에 이루어졌다.

CVE-2026-71362와 관련해서는, Sansec이 2026년 8월 해당 결함을 노린 악용 시도를 탐지·차단했다고 밝혔다.

네덜란드 이커머스 보안 기업인 Sansec은 "이 취약점을 통해 공격자가 특정 고객 세션을 다른 고객 계정으로 전환할 수 있다"며 "이를 통해 피해자의 계정과 개인 고객 데이터에 접근할 수 있게 된다"고 설명했다.

Previdian의 텔레메트리 데이터에 따르면, 2026년 9월 10일 호주의 단일 IP 주소가 자사 허니팟 센서를 대상으로 해당 취약점을 악용하려는 시도를 했다. Adobe는 아직 공식 보안 권고문에 악용 여부를 확인하는 내용을 추가하지 않은 상태다.

연방 민간 행정부(FCEB) 기관들은 활성화된 위협으로부터 네트워크를 보호하기 위해 두 취약점에 대한 패치를 2026년 9월 27일까지 적용하도록 권고받았다.