[단독분석] 분석 — CVE-2026-9772

• 심각도 high · CVSS 8.8 · EPSS 0.01115 · 악용난이도 hard

• 경로: FileUpload.php 엔드포인트의 파라미터 주입을 통해 트리거됩니다.
• 원리: 사용자 입력 문자열이 적절한 검증 없이 시스템 호출(System Call)에 전달되는 OS Command Injection 취약점입니다.
• 단계:
  1. 유효한 계정 권한으로 인증(PR:L) 후 요청 전송.
  2. FileUpload.php 파라미터에 쉘 메타문자(;, |, `, $( ) 등)가 포함된 조작된 문자열 주입.
  3. 서버 내에서 www-data 권한으로 임의 명령어 실행.

악용 가능성: 본 취약점은 Unraid Web Server의 FileUpload.php 엔드포인트에서 입력값 검증 미비로 인해 발생하는 Command Injection 취약점으로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터상 AV:N과 AC:L로 네트워크를 통한 접근 및 낮은 공격 복잡도를 가지나, 결정적으로 PR:L 조건에 따라 유효한 사용자 계정 권한(Authentication)이 선행되어야 하므로 무작위 외부 공격자의 직접적인 진입 장벽이 존재합니다. 공격 표면은 웹 인터페이스의 파일 업로드 기능 내 특정 파라미터이며, 이를 통해 www-data 권한으로 임의 시스템 명령어를 실행할 수 있는 구조입니다. EPSS 수치는 0.01115로 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않아 현재 야생에서의 광범위한 악용 사례는 미관측 상태입니다. 다만, 인증된 사용자가 권한을 상승시키거나 내부망 침투 후 거점으로 활용할 수 있다는 점에서 이론적 심각도와 별개로 잠재적 위협이 존재합니다. 결과적으로 낮은 EPSS와 KEV 미등재 사실은 즉각적인 대규모 공격 가능성은 낮음을 시사하나, 인증된 세션을 확보한 공격자에게는 매우 치명적인 경로가 될 수 있습니다.

• 영향 범위: Unraid 7.3.0 미만 버전 전체가 대상이며, 인증된 사용자에 한해 공격이 가능합니다.
• 기술적 위험:
  • 웹 서버 제어권 획득: www-data 권한으로 실행되므로 웹 애플리케이션 설정 및 소스 코드의 무단 수정/탈취가 가능합니다.
  • 데이터 접근: NAS 특성상 웹 서버 권한이 접근 가능한 공유 폴더 내 데이터에 대한 기밀성 및 무결성이 훼손될 수 있습니다.
  • 추정: 권한 상승: www-data 계정에서 시스템 취약점을 추가로 이용할 경우 root 권한으로 확대될 가능성이 있습니다.
• 비즈니스 리스크: 저장된 데이터의 유출이나 변조로 인한 신뢰도 하락 및 악성 명령어를 통한 서비스 가용성 저해가 발생할 수 있습니다.

• 유형: CWE-78 (OS Command Injection) 패턴입니다.
• 체이닝: 인증이 필수적이므로, 추정: 기본 계정 정보(Default Credentials) 사용이나 별도의 계정 탈취 수단을 통해 초기 진입 후 본 RCE를 이용하여 권한을 확립하는 시나리오가 가능합니다.

• HTTP 로그: FileUpload.php 요청 파라미터 내 쉘 메타문자(;, |, `, $( )) 포함 여부 감시.
• 프로세스 모니터링: www-data 사용자가 /bin/sh, curl, wget, nc 등 비정상적인 자식 프로세스를 생성하는지 확인.

• 근본 해결: Unraid 7.3.0 이상 버전으로 업데이트하여 입력값 검증 패치를 적용하십시오.
• 즉시 조치: 웹 관리 페이지의 외부 노출을 차단하고, VPN 또는 방화벽 기반의 접근 제어 및 강력한 비밀번호 정책을 적용하십시오.

[분석 근거]

• 교차검증: 다중 소스 데이터 간 일관성이 확인되어 신뢰도 1.0으로 분석하였습니다.
• 실측 악용예측: EPSS 수치(0.01115, 백분위 0.62854)가 낮고 KEV에 미등재된 점은 현재 야생에서의 광범위한 악용이 미관측되었음을 의미하며, 이는 실제 공격 난이도가 hard라는 판단의 근거가 됩니다.
• 우선순위 결정: scheduled (이번 주 내). CVSS 8.8로 이론적 심각도는 높으나, '인증 필요' 제약과 낮은 EPSS 수치를 고려하여 즉시 대응보다는 계획된 일정 내 조치로 결정하였습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.8 · non-KEV · EPSS=0.01115 · exploit=hard · in_scope=None