[단독분석] 분석 — CVE-2026-9773

• 심각도 high · CVSS 8.8 · EPSS 0.01128 · 악용난이도 hard

• 취약점 지점: ToggleState.php 내 사용자 입력값에 대한 검증 로직 부재로 인한 OS Command Injection (CWE-78).
• 공격 경로: 인증된 사용자가 HTTP 요청을 통해 조작된 문자열을 전송 $\rightarrow$ 서버가 이를 필터링 없이 시스템 콜(System Call)로 전달 $\rightarrow$ 임의 명령어 실행.
• 실행 권한: 웹 서버 프로세스 권한인 www-data 계정으로 코드가 실행됩니다.

악용 가능성: 본 취약점은 Unraid Web Server의 ToggleState.php 엔드포인트에서 입력값 검증 미비로 인해 발생하는 Command Injection 취약점으로, 공격 난이도는 Hard로 판정됩니다. CVSS 벡터 상 AV:N(Network)과 AC:L(Low)임에도 불구하고, PR:L(Low Privilege) 조건이 필수적이므로 인증된 사용자 계정을 먼저 확보해야 하는 전제조건이 존재합니다. 공격 표면은 웹 관리 인터페이스의 특정 파라미터이며, 이를 통해 시스템 콜을 호출하는 과정에서 임의 코드를 주입하여 www-data 권한으로 RCE를 수행할 수 있습니다. EPSS 수치는 0.01128로 낮고 KEV에 등재되지 않아 현재 야생에서의 대규모 악용 사례는 미관측 상태이나, 인증 후 내부 시스템 제어권을 획득할 수 있다는 점에서 이론적 위험도는 높습니다. 결과적으로 외부 비인증 공격자보다는 권한을 가진 내부자나 이미 계정을 탈취한 공격자에 의한 2차 공격(Lateral Movement) 가능성이 주된 위협 시나리오입니다.

• 영향 범위: Unraid 7.3.0 미만 버전 전체가 대상이며, 인증된 계정을 보유한 공격자에 의해 노출됩니다.
• 기술적 위험:
  • 시스템 제어권 획득: www-data 권한 내에서 OS 명령어를 실행하여 웹 서버 설정 변경 및 내부 파일 시스템 접근이 가능합니다.
  • 데이터 탈취: NAS OS 특성상 저장된 개인/기업 데이터 및 구성 파일에 대한 기밀성이 훼손될 수 있습니다.
  • 추정: 권한 상승: 초기 진입 후 로컬 취약점을 체이닝하여 root 권한 획득을 시도할 가능성이 존재합니다.
• 비즈니스 리스크: 스토리지 서비스 중단으로 인한 가용성 저해 및 데이터 유출 시 기업의 신뢰 손실과 컴플라이언스 위반 위험이 발생합니다.

• 유형: OS Command Injection.
• 체이닝 가능성: 인증(PR:L)이 필수 조건이므로, 추정: 기본 계정 정보 유출이나 별도의 인증 우회 수단과 결합될 경우 공격 난이도가 급격히 낮아질 수 있습니다.

• 분석 대상: 웹 서버 액세스 로그 내 ToggleState.php 요청 파라미터.
• 탐지 지표: 쉘 메타문자(;, |, `, $( ))가 포함된 비정상적 입력 패턴.
• 패턴 예시: /ToggleState.php\?.*[;&|$(].*`

• 근본 해결: Unraid 7.3.0 버전 이상으로 업데이트하여 입력값 검증 패치를 적용하십시오.
• 즉시 조치: 외부망에서 웹 관리 페이지 접근을 차단하고 VPN 사용 및 내부망 접근 제한을 권고합니다.

[분석 근거]

• 데이터 신뢰도: 다중 소스 교차검증 결과 정보의 일관성이 확인되어 신뢰도 1.0으로 판단합니다.
• 실측 위험도: EPSS 수치가 0.01128(백분위 0.63181)로 매우 낮고 KEV에 등재되지 않은 점은 이론적 심각도(CVSS 8.8)와 별개로 실제 야생에서의 악용 가능성이 현재 낮은 수준임을 의미합니다.
• 우선순위 결정: CVSS 점수는 높으나 non-KEV, 저수치 EPSS, exploit 등급 'hard'를 근거로 규칙 기반 우선순위를 scheduled(이번 주 내 조치)로 분류하였습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.8 · non-KEV · EPSS=0.01128 · exploit=hard · in_scope=None