[방어] 분석 — CVE-2026-48908

• 심각도 critical · CVSS 10.0 · EPSS 0.8813 · 악용난이도 easy · KEV

SP Page Builder의 파일 업로드 API가 인증을 요구하지 않으므로, 외부 공격자는 multipart/form-data POST 요청으로 任意의 .php*, .phtml, .phar 등 확장자를 가진 스크립트를 images/sp-page-builder/ 경로에 저장한다. 웹 서버가 해당 디렉터리에서 PHP를 실행하도록 허용돼 있으면, 파일 접근 시 즉시 원격 코드 실행(RCE)이 완료된다.

악용 가능성: 이 취약점은 CVSS Vector에서 AV=N (Network), AC=L (Low), PR=N (None), UI=N (None) 로 평가되어, 원격 네트워크만으로도 인증 없이 바로 이용할 수 있음을 의미합니다. 따라서 공격자는 별도의 피싱이나 내부 침투 단계 없이 공개된 Joomla 사이트의 /index.php?option=com_sppagebuilder&task=upload 와 같은 파일 업로드 엔드포인트에 접근하면 됩니다. EPSS 값이 0.8813 로 매우 높게 측정돼, 실제 악용 가능성이 88 % 이상임을 실증적으로 보여주며, KEV(Known Exploited Vulnerabilities) 리스트에도 포함되어 있어 현재도 활발히 공격되고 있음을 확인할 수 있습니다. 트리거 조건은 인증되지 않은 사용자가 multipart/form‑data 요청으로 임의 파일명을 지정해 전송하는 것뿐이며, 별도의 권한 상승이나 추가 코드 실행 단계가 필요 없습니다. 노출된 공격 표면은 Joomla 웹 서버와 SP Page Builder 플러그인의 파일 업로드 파라미터(예: file, upload) 및 이를 처리하는 PHP 스크립트 전체이며, 이 경로는 일반적인 웹 크롤러나 자동화 도구가 쉽게 탐지할 수 있는 공개 URL에 해당합니다. 결과적으로 공격 난이도는 Easy, 악용 가능성은 매우 높으며, 방어자는 이 엔드포인트를 즉시 차단하거나 파일 업로드 검증을 강화하는 것이 최우선 과제가 됩니다.

• 웹 서버 프로세스 권한을 획득 → 데이터베이스·관리자 계정 탈취 등 전체 사이트 장악
• 업로드된 웹쉘이 지속적으로 존재하면 백도어·추가 악성 모듈 설치 가능
• 로그 남기지 않을 경우 침해 탐지가 지연되어 대응 시간 확대

• Joomla 코어 혹은 다른 확장의 디렉터리 트래버스(LFI)와 결합하면 임의 경로에 파일을 배치할 수 있음
• PHP phar 메타데이터 인젝션(CVE‑2021‑... 등)과 연계해 .phar 우회가 가능함

로그 지표

• Apache/Nginx access_log: method=POST, uri_path에 option=com_sp_pagebuilder 포함, status 200‑302, request_body에 파일명 패턴 \.php[5-7]?|phtml|phar 또는 Content-Type: application/x-php 기록
• Joomla error_log 혹은 플러그인 자체 로그: “Uploaded file saved to …/images/sp-page-builder/” 메시지

SIEM 탐지 규칙 예시 (Splunk 스타일)

 1index=web sourcetype=access_combined 
 2  method=POST uri_path="/index.php" query="option=com_sp_pagebuilder"
 3| regex request_body="(?i)(filename|name)=.*\.(php[5-7]?|phtml|phar)$"
 4| stats count by src_ip, user_agent
 5| where count > 0

오탐 튜닝: filename에 이미지 확장자(.jpg,.png,.gif)만 허용하도록 정규식을 제한하고, 내부 관리 IP를 화이트리스트에 추가한다.

파일 무결성 감시 (OSSEC/Auditd)

• 경로: /var/www/html/images/sp-page-builder/.*\.php[5-7]*$
• 규칙: inode_create 이벤트 발생 시 alert 트리거, 메시지에 파일명·생성 시간 포함

실행 탐지 정규식 (웹 서버 access_log)

 1^\S+ \[.*\] "GET /images/sp-page-builder/[^"]+\.(php|phtml|phar) HTTP/1\.1" 200

이 패턴이 감지되면 즉시 경고와 함께 파일 무결성 로그를 교차 검증한다.

즉시(긴급 차단)

• 웹 서버 설정 혹은 WAF에서 images/sp-page-builder/ 디렉터리의 PHP 실행을 차단한다. 예: Apache .htaccess에
  text복사

   1RemoveHandler .php .phtml .phar
   2php_flag engine off

  또는 Nginx location ~* \.(php|phtml|phar)$ { deny all; } 적용.
• 동시에 해당 플러그인의 업로드 엔드포인트(option=com_sp_pagebuilder&task=ajax.upload)를 403 응답으로 차단한다(웹 방화벽 ACL).

난이도: 중간 – 웹 서버 재시작 필요, 기존 이미지 업로드 기능에 영향 없음.
검증: curl http://<host>/images/sp-page-builder/test.php 요청 시 404/403 반환 확인.

단기(완화)

• 플러그인 설정 또는 커스텀 필터에서 허용 파일 확장자를 .jpg|.jpeg|.png|.gif 로 제한하고, Content-Type이 image/* 인 경우에만 저장하도록 검증 로직 추가.
• open_basedir를 /var/www/html/images/sp-page-builder/ 로 제한하여 웹 루트 외부에서 해당 디렉터리 파일을 실행하지 못하게 한다.
• 업로드 임시 디렉터리를 /tmp/joomla_upload 등 비공개 경로로 이동하고, 권한 0700 적용.

난이도: 중간 – 플러그인 코드 수정·재배포 필요, 서비스 재시작 요구.
검증: 정상 이미지 업로드 후 파일 확장자 검사 및 MIME 타입 로그 확인.

근본(해결)

• 공식 패치를 적용하거나 SP Page Builder를 6.6.1 이상 버전으로 업그레이드한다.
• 플러그인이 필요하지 않은 경우 즉시 비활성화하고, Joomla 확장 관리 화면에서 제거한다.

난이도: 낮음‑중간 – 패키지 다운로드·설치 절차만 수행하면 되며, 적용 전 백업 권고.
검증: 업데이트 후 동일 업로드 요청에 대해 403 응답 확인 및 CVE-2026-48908 관련 보안 어드바이저 보고서 검토.

잔여 리스크
패치 적용 전까지는 파일 실행 차단과 업로드 엔드포인트 차단만으로도 RCE 위험을 크게 낮출 수 있지만, 공격자가 다른 플러그인·코어 취약점을 이용해 파일을 다른 경로에 저장할 가능성은 남아 있다. 따라서 위 완화 조치를 적용한 뒤에도 정기적인 무결성 스캔과 로그 모니터링을 유지한다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.8813 · exploit=easy · in_scope=None