[분석가] 분석 — CVE-2026-48272

• 심각도 high · CVSS 7.8 · EPSS 0.00136 · 악용난이도 hard

• 로컬 환경에서 검색 경로(search path)에 쓰기 가능한 디렉터리가 포함될 경우, 악성 DLL이 해당 경로에 존재하면 자동으로 로드되어 현재 사용자 권한으로 코드가 실행됨.
• 조건(쓰기 가능한 경로 존재 및 우선 순위 확보)이 공격자 통제 밖에 있어 복잡도는 높음(AC:H)하지만 사용자 상호작용은 필요 없음(UI:N).
• 범위가 변경된(S:C) 특성 때문에 악성 모듈이 다른 프로세스 컨텍스트에서도 로드될 수 있음.

악용 가능성: 이 취약점은 AV:L(로컬 접근) 조건을 만족해야 하므로, 공격자는 대상 시스템에 직접 파일을 배치하거나 실행 환경에 접근할 수 있어야 합니다. AC:H(높은 복잡도) 요구는 악성 검색 경로 요소를 삽입하기 위해 쓰기 권한이 있는 디렉터리를 사전에 파악하고, 해당 위치가 정상 경로보다 먼저 탐색되는 상황을 확보해야 함을 의미합니다. PR:L(낮은 특권) 으로 현재 사용자의 권한만 있으면 공격이 가능하므로, 관리자 권한이 없어도 악용될 수 있지만, 쓰기 가능한 디렉터리(예: %TEMP%, 사용자 프로필 경로 등)에 대한 제어가 전제됩니다. UI:N(사용자 상호작용 없음) 덕분에 악성 파일을 배치하고 프로그램을 실행하기만 하면 추가적인 클릭이나 입력이 필요하지 않아 자동화된 공격 흐름이 가능합니다. EPSS 0.00136이라는 실측값은 현재 관찰된 악용 사례는 매우 적지만, 완전히 무시할 수준은 아니며, KEV에 등재되지 않은 점은 아직 공개적으로 확인된 대규모 악용이 없음을 보여줍니다. 따라서 공격 표면은 Creative Cloud Desktop이 검색 경로를 구성하는 로컬 엔드포인트(환경 변수, 설정 파일)와 해당 경로에 접근 가능한 파라미터·디렉터리이며, 이들에 악성 요소가 삽입될 경우 현재 사용자 권한으로 임의 코드를 실행할 수 있습니다.

• 기술적 위험: 성공 시 임의 코드 실행 → 현재 사용자의 권한으로 시스템 제어, 추가 LPE 체인 결합 시 SYSTEM 수준 권한 획득 가능.
• 비즈니스 리스크:
  • 기밀 데이터 유출·변조 위험 (C:H/I:H)
  • 서비스 중단 및 업무 연속성 저해 (A:H)
  • 규제·컴플라이언스 위반 시 책임 문제 발생 가능.
• 노출 규모: Adobe Creative Cloud Desktop 버전 6.9.1.1 미만을 사용하는 모든 Windows 엔드포인트가 대상이며, 해당 제품이 기업 내에 광범위하게 배포된 경우 영향 범위가 클 수 있음.

• Uncontrolled Search Path Element는 동일 시스템 내 다른 로컬 권한 상승(LPE) 취약점과 결합될 경우 전체 권한 상승 체인을 완성할 수 있음(예: DLL hijacking → 서비스 탈취).
• 현재 확인된 구체적인 CVE 번호는 없으며, 기존 LPE 패턴과의 연계 가능성을 염두에 둘 필요가 있음.

• Sysmon Event ID 7 (ImageLoad): C:\Users\Public·%TEMP% 등 사용자 쓰기 가능한 경로에서 DLL이 로드되는 이벤트를 실시간으로 수집·경보.
• 환경 변수 모니터링: PATH, LIBRARY_PATH 등의 변경을 감시하고 비정상적인 디렉터리 삽입 시 알림.
• AppLocker / SRP 로그: 허용되지 않은 경로에서 실행된 파일에 대한 차단/허용 기록 검토.

• 즉시 조치: Adobe에서 제공하는 6.9.1.1 이상 버전 패치를 즉시 적용하고, 아직 패치가 불가능한 경우 해당 애플리케이션을 사용 중지.
• 실행 제어: AppLocker 또는 Software Restriction Policies를 활용해 신뢰된 디렉터리 외의 DLL 실행을 차단.
• 권한 제한: 검색 경로에 포함되는 디렉터리에 대한 쓰기 권한을 최소화하고, 일반 사용자 계정이 해당 경로에 파일을 배치하지 못하도록 ACL 적용.
• 모니터링 강화: 위 탐지 항목을 SIEM에 연동하여 실시간 알림 체계 구축; EPSS 0.00136(낮은 관측 악용 가능성)에도 불구하고 CVSS 7.8(고위험)으로 이번 주 내 대응 일정(scheduled)으로 지정된 점을 고려해 우선순위를 유지.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00136 · exploit=hard · in_scope=None