[단독분석] 분석 — CVE-2026-75650
CVE-2026-75650 is a critical remote code execution flaw in Adobe Commerce’s template engine that can be exploited without interaction, requiring immediate mitigation.
📋 요약
- 심각도 critical · CVSS 10.0 · EPSS 미확보 · 악용난이도 easy
🔍 공격 기법
Adobe Commerce 내부 템플릿 엔진에서 특수 요소를 적절히 중화하지 못해 악의적인 입력이 그대로 실행됩니다.
공격자는 네트워크를 통해 임의의 템플릿 코드를 전송하고, 서버가 이를 렌더링하면서 현재 사용자 권한으로 명령을 실행합니다. UI 요구가 없으며, 인증·권한이 필요하지 않아 자동화된 원격 공격이 가능합니다.
악용 가능성: CVSS 벡터 AV:N/AC:L/PR:N/UI:N은 원격 네트워크 공격자가 인증이나 사용자 상호작용 없이 낮은 복잡도로 취약점을 이용할 수 있음을 의미하므로 난이도는 “easy”로 평가됩니다. 실제 공격 조건은 템플릿 엔진이 입력을 충분히 검증하지 않고 렌더링하는 API·엔드포인트에 악의적인 템플릿 코드를 전송하면 되며, 이때 별도의 권한이나 사전 준비가 필요 없습니다. 해당 엔드포인트는 보통 관리자 패널이나 REST API에서 제공되며, 인증이 불필요하거나 과도하게 노출된 경우 공격 표면이 넓어집니다. EPSS 값이 없고 KEV에 등재되지 않았지만, CVSS 점수가 높고 원격 코드 실행을 허용한다는 사실은 실제 위협 가능성을 배제할 수 없음을 보여줍니다. 특히 Scope가 변경되어 성공 시 현재 사용자 컨텍스트를 넘어 시스템 수준까지 권한이 확대될 수 있습니다. 따라서 이 취약점은 난이도가 낮고 네
💥 영향 분석
-
기술적 위험
- 임의 코드 실행(RCE) → 시스템 쉘 획득, 파일 조작, 추가 악성 페이로드 설치 등 전면 장악 가능.
- Scope가 “Changed”이므로 공격 성공 시 현재 사용자의 컨텍스트를 넘어 전체 애플리케이션 및 호스트에 영향을 미칠 수 있음.
-
비즈니스 리스크
- 서비스 가용성 중단(서비스 거부, 무한 루프 등) → 매출 손실·고객 신뢰도 하락.
- 민감 데이터(주문 정보, 고객 개인정보 등) 탈취 가능성 → 규제 위반·컴플라이언스 리스크.
-
영향 제품·노출 규모
- 영향을 받는 구체적인 버전·배포판은 현재 “미상”이며, Adobe Commerce를 운영 중인 모든 환경이 잠재적 대상임([교차검증] 다중 소스에서 일관성이 확인됨).
🔗 관련 취약점·체이닝
- 템플릿 엔진 기반 RCE는 종종 파일 포함(File Inclusion)이나 서버 측 요청 위조(SSRF)와 결합되어 권한 상승 및 내부 네트워크 탐색에 활용됩니다.
- 현재 알려진 직접 연계 CVE 번호는 없으나, 동일한 플랫폼에서 발견된 “Template Injection” 계열 취약점과 공격 흐름이 유사할 수 있습니다.
🔎 탐지
- 웹 서버 로그에서 비정상적인 템플릿 파라미터(
{{,{%,<?php등)와 함께 HTTP POST/GET 요청이 빈번히 발생하는 경우. - 애플리케이션 레벨에서 템플릿 엔진 렌더링 직전/후에 실행된 시스템 명령어 기록 또는 비정상적인 프로세스 생성 이벤트.
🛡️ 완화 방안
- 즉시 차단: 웹 방화벽(WAF) 규칙을 적용해 템플릿 구문(
{{,{%,<?php등)이 포함된 요청을 차단하거나 샌드박싱한다. - 입력 검증 강화: 사용자 입력에 대한 화이트리스트 기반 인코딩·이스케이프를 전면 적용하고, 템플릿 엔진 설정에서 “sandbox” 모드를 활성화한다.
- 패치/업데이트: Adobe Commerce 공급업체가 제공하는 보안 업데이트가 발표될 때까지 최신 패치를 적용할 수 없는 경우, 취약 컴포넌트를 임시로 비활성화하거나 대체 솔루션으로 전환한다.
- 모니터링: 위 탐지 지표를 SIEM에 연동해 실시간 알림을 설정하고, 의심되는 프로세스·파일 변조 활동을 즉시 조사한다.
※ 본 보고서는 다중 소스 교차검증([교차검증]), EPSS 미확보 상황([실측 악용예측]) 및 규칙 기반 우선순위 결정([우선순위 결정])을 근거로 작성되었습니다. CVSS 10.0·Exploit easy·KEV 비등재·EPSS 부재 등 높은 위험 요인으로 즉시(24 시간 이내) 대응이 권고됩니다.
⚖️ 위험도 / 우선순위
- 조치: immediate (지금 즉시(24h 내))
- 근거: CVSS=10.0 · non-KEV · EPSS=미확보 · exploit=easy · in_scope=None