[단독분석] 분석 — CVE-2026-13127

• 심각도 high · CVSS 7.8 · EPSS 0.0017 · 악용난이도 hard

• 사용자가 악성 PDF 파일을 열면 내장된 JavaScript가 페이지 구조를 재작성합니다.
• 재작성 과정에서 페이지 객체가 무효화되지만 썸네일 생성 로직은 여전히 해당 객체를 참조하게 됩니다.
• 이 불일치가 메모리 손상을 일으켜 애플리케이션이 크래시됩니다.
• CVSS 벡터 AV:L/AC:L/PR:N/UI:R에 따라 공격자는 로컬 환경에서 사용자를 설득해 파일을 열게 해야 하며, UI 상호작용이 필요합니다.

악용 가능성: AV:L(로컬)·AC:L(낮은 복잡도)·PR:N·UI:R(사용자 상호작용 필요)인 CVSS 벡터는 공격자가 대상 시스템에 직접 접근하고, 악성 PDF 파일을 열도록 유도해야 함을 의미합니다. 따라서 물리적 또는 원격 데스크톱 등으로 로컬 권한을 확보한 후, 사용자를 속여 해당 PDF를 실행시키는 단계가 필수입니다. EPSS 0.0017이라는 실측값은 현재 관찰된 악용 가능성이 매우 낮으며, KEV에 등재되지 않은 점은 아직 공개적으로 활용되는 익스플로잇이 존재하지 않음을 뒷받침합니다. 공격 표면은 PDF 뷰어가 JavaScript를 해석하고 페이지 객체를 재작성하는 기능이며, 악성 PDF 파일 자체와 해당 파일을 로드하는 파일‑프로토콜(file://) 또는 애플리케이션 내부 API가 노출된 지점이 됩니다. 즉, 취약점은 사용자가 의도적으로 조작된 PDF를 열 때만 발동하므로, 무차별적인 원격 공격보다는 표적화된 사회공학에 의존하게 됩니다. 이러한 조건을 종합하면, 로컬 접근과 사용자 행동이 전제되는 “hard” 난이도로 평가되며, 실제 위협은 현재 매우 제한적이라고 판단됩니다.

• 기술적 위험: 메모리 손상으로 인한 서비스 거부(DoS) 발생. 현재 보고된 바에 따르면 원격 코드 실행은 확인되지 않았으나, 메모리‑코루프션 특성상 향후 추가 공격 단계와 연계될 가능성이 있습니다.
• 비즈니스 위험:
  • Foxit PDF Editor 및 Reader 다수 버전(총 8개 제품군)에서 취약점이 존재하므로, 해당 소프트웨어를 사용 중인 조직은 문서 열람·편집 업무가 중단될 수 있습니다.
  • 금융·의료 등 규제 산업에서는 PDF 파일을 증빙·보고에 활용하기 때문에 가용성 저하가 컴플라이언스 위반 위험으로 이어질 가능성이 있습니다.
• 노출 규모: 교차검증 결과 [다중 소스에서 일관성이 확인됐다]고 보고되었으며, Foxit 제품은 전 세계적으로 널리 배포되어 있어 광범위한 노출이 예상됩니다. 또한 Windows 환경에서도 라이브러리 수준의 영향을 받을 수 있어 공급망 차원의 위험도 존재합니다.
• 악용 가능성: 실측 EPSS 0.0017 [실측 악용예측]은 현재 관측된 실제 악용 사례가 매우 낮음을 의미하지만, exploit=hard와 AV:L/AC:L/UI:R 특성을 고려하면 공격자는 사회공학적 수단을 통해 충분히 활용할 여지가 있습니다.

• 동일한 PDF JavaScript 기반 메모리 손상 패턴은 과거 Foxit 및 다른 PDF 뷰어에서 보고된 CVE와 유사합니다(예: 기존 메모리‑코루프션 취약점).
• 해당 취약점을 이용해 초기 DoS를 일으킨 뒤, 추가적인 권한 상승 또는 샌드박스 탈출 취약점과 연계될 경우 보다 심각한 침투가 가능할 것으로 추정됩니다.

• 프로세스/시스템 로그: foxit.exe 혹은 FoxitReader.exe의 비정상 종료 이벤트(Windows Event ID 1000 등) 감시.
• 파일 행동: PDF 파일 열기 시 JavaScript가 페이지 객체를 수정하고 썸네일을 재생성하는 흐름을 탐지하는 EDR 규칙. 예시 패턴: \/JavaScript\([^)]*page\) 와 동시에 Thumbnail 호출 로그.
• 메모리 이상: 메모리 덤프에서 비정상적인 페이지 객체 포인터 값(예: 0x00000000 혹은 매우 큰 주소) 탐지 시 경보 발생.

1. 패치 적용: Foxit 공식 보안 업데이트가 제공되는 즉시 최신 버전(예: Editor ≥ 13.2.4.24048, Reader ≥ 2026.1.1.36485)으로 업그레이드합니다.
2. 임시 방어: 설정에서 PDF JavaScript 실행을 비활성화하고, 신뢰할 수 없는 출처의 PDF 파일 열기를 금지합니다.
3. 보안 정책: EDR/AV 솔루션에 위 탐지 규칙을 적용하고, 애플리케이션 화이트리스트를 통해 허가된 버전만 실행되도록 제한합니다.
4. 사용자 교육: 사회공학 공격을 통한 파일 열람 시도를 방지하기 위해 “알 수 없는 PDF는 열어서는 안 된다”는 정책을 사용자에게 안내합니다.

위 조치를 이번 주 내에 수행하면, 교차검증 [다중 소스에서 일관성이 확인됐다]와 우선순위 결정 [CVSS 7.8·non‑KEV·EPSS 0.0017·exploit hard]에 기반한 위험 감소 효과를 기대할 수 있습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.0017 · exploit=hard · in_scope=None