[공격] 분석 — CVE-2026-47915

• 심각도 high · CVSS 7.8 · EPSS 0.00307 · 악용난이도 hard

(1) 트리거 조건: 특수하게 조작된 PDF 파일 내의 객체나 스크립트가 메모리 할당 후 해제된 포인터를 다시 참조하도록 유도하여 Use After Free (UAF) 결함을 발생시킴.
(2) 공격 단계:

• 정찰: 대상 사용자의 Adobe Acrobat/Reader 버전 및 OS 확인.
• 초기접근: 사회공학적 기법(피싱 메일, 메신저 등)을 통해 악성 PDF 파일을 전달하고 사용자에게 개방 유도 (UI:R 전제).
• 실행·권한 획득: 파일 오픈 시 UAF 트리거 $\rightarrow$ 메모리 레이아웃 조작(Heap Spraying 추정) $\rightarrow$ 함수 포인터 덮어쓰기 $\rightarrow$ Shellcode 실행. 현재 사용자 권한으로 임의 코드 실행.
• 지속 및 영향: OS API를 이용해 백도어 설치 또는 중요 데이터 탈취.
  (3) 공격 표면: PDF 파일 파싱 엔진 (PDF Reader/Acrobat DC). 입력값인 .pdf 파일 내의 객체 구조와 렌더링 프로세스가 주 타겟임.
  (4) CVSS 벡터 분석: AV:L(로컬 파일 실행), AC:L(공격 복잡도 낮음), PR:N(권한 불필요), UI:R(사용자 상호작용 필수). 즉, 공격자가 직접 시스템에 침투하는 것이 아니라 사용자가 파일을 여는 행위가 필수적인 '클라이언트 사이드' 공격임.

악용 가능성: 본 취약점은 AV:L 및 UI:R 조건으로 인해 공격자가 대상 시스템에 직접 접근하거나 원격에서 강제로 실행시킬 수 없으며, 반드시 피해자가 악성 PDF 파일을 열어야 하는 사용자 상호작용이 전제됩니다. AC:L과 PR:N은 일단 파일이 실행되면 특수 권한 없이도 취약점이 트리거됨을 의미하지만, 실제 공격 난이도는 hard로 판정됩니다. 이는 Use After Free(UAF) 특성상 메모리 레이아웃을 정밀하게 제어해야 하며, 최신 브라우저나 Reader의 샌드박스 및 메모리 보호 기법을 우회해야 하기 때문입니다. EPSS 수치가 0.00307로 매우 낮고 KEV에 등재되지 않은 점은 현재 이 취약점이 야생(In-the-wild)에서 자동화된 공격 도구로 널리 활용되고 있지 않음을 시사합니다. 주요 공격 표면은 Acrobat Reader가 PDF 파일을 파싱하는 프로세스 내의 특정 객체 처리 함수이며, 조작된 파일 내의 비정상적인 객체 참조를 통해 메모리 오염을 유도합니다. 결과적으로 이론적 심각도는 높으나, 정교한 페이로드 제작 필요성과 사용자 실행이라는 제약 조건으로 인해 실제 악용 가능성은 제한적입니다.

(1) 기술적 위험: 현재 사용자 권한의 임의 코드 실행(Arbitrary Code Execution). 이는 로컬 파일 읽기/쓰기, 프로세스 메모리 접근 및 시스템 내 다른 취약점과 결합하여 권한 상승으로 이어질 수 있음.
(2) 비즈니스 영향: 기업 내부 문서 유출, 엔드포인트 장악을 통한 내부망 침투의 교두보 확보. Windows와 macOS 모두 영향을 받으므로 전사적 엔드포인트 보안 위협이 큼.

• 추정: Memory Corruption(UAF) 단독으로는 최신 OS의 DEP/ASLR 방어 기법으로 인해 실행이 제한될 수 있음. 따라서 Information Leak 유형의 취약점을 체이닝하여 메모리 주소를 먼저 획득한 후, RCE를 달성하는 패턴이 일반적임.
• 추정: 사용자 권한에서 실행되므로, 이후 OS 커널 수준의 Privilege Escalation 취약점과 체이닝될 경우 시스템 전체 제어권을 획득하는 경로로 이어짐.

(1) 로그 지표: Adobe Acrobat/Reader 프로세스(Acrobat.exe, AcrobatReader.exe)가 비정상 종료(Crash)되며 생성되는 Windows Event Log (Event ID 1000, 1001) 또는 macOS Crash Reports.
(2) 탐지 규칙:

• Rule 1 (EDR/SIEM): ParentProcess == "AcrobatReader.exe" AND ChildProcess IN ("cmd.exe", "powershell.exe", "sh", "bash") $\rightarrow$ PDF 리더가 쉘을 생성하는 행위 탐지.
• Rule 2 (Network): PDF 다운로드 경로에서 알려진 악성 도메인/IP와의 통신 확인 및 파일 해시 기반 매칭.
• Rule 3 (Memory): Acrobat.exe 프로세스 내에서 RWX 권한을 가진 비정상적인 메모리 영역 생성 감시.
  (3) 오탐 시나리오: 정식 플러그인이나 외부 연동 기능이 쉘을 호출하는 경우 오탐 가능. 화이트리스트 기반의 실행 경로 검증으로 튜닝 필요.

• 즉시(긴급 차단): 신뢰할 수 없는 출처에서 수신한 PDF 파일 개방 금지 공지 및 메일 게이트웨이에서 .pdf 첨부파일 검사 강화 (난이도: 하 / 영향: 낮음 / 검증: 사용자 교육 확인).
• 단기(완화): Adobe Acrobat의 '보호 모드(Protected Mode/Sandbox)' 활성화 상태 확인. 샌드박스가 작동 중이면 RCE 성공 시에도 시스템 영향 범위를 제한 가능 (난이도: 하 / 영향: 낮음 / 검증: 설정 메뉴 확인).
• 근본(해결): 영향을 받는 버전(Acrobat DC 15.008.20082 - 26.001.21662 등)을 최신 패치 버전으로 업데이트 (난이도: 중 / 영향: 낮음 / 검증: 설치된 버전 번호 확인).

[파이프라인 근거] 본 리포트는 다중 소스 데이터의 일관성이 확인된 교차검증 결과를 바탕으로 작성되었습니다. 실측 EPSS 값은 0.00307(백분위 0.22895)로, 이론적 심각도(CVSS 7.8)에 비해 실제 야생에서의 악용 가능성은 현재 낮은 수준(Hard 등급)으로 분석됩니다. 이에 따라 KEV 미등재 및 낮은 EPSS 수치를 근거로 우선순위를 'scheduled(이번 주 내)'로 결정하여 대응하도록 설계되었습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00307 · exploit=hard · in_scope=None