[방어] 분석 — CVE-2026-48272

• 심각도 high · CVSS 7.8 · EPSS 0.00136 · 악용난이도 hard

Adobe Creative Cloud Desktop이 시작 시 검색 경로(Search Path)를 구성할 때 환경 변수나 레지스트리 값을 검증하지 않아, 공격자는 로컬 계정 권한으로 해당 경로에 악성 DLL/EXE를 배치하면 실행 파일이 자동으로 로드됩니다. 조건부(공격자가 제어할 수 없는) 요소가 존재하지만 사용자 상호작용 없이도 트리거되며, 성공 시 현재 사용자의 보안 컨텍스트에서 임의 코드를 실행합니다.

악용 가능성: CVSS 벡터 AV:L/AC:H/PR:L/UI:N은 공격이 로컬 환경에서만 가능하고(AV:L), 성공하려면 복잡한 사전 조건을 만족시켜야 함을 의미합니다(AC:H). 권한 요구가 Low(PR:L)인 만큼, 공격자는 이미 일반 사용자 계정을 보유하고 있으면 추가적인 관리자 권한 없이도 시도를 할 수 있습니다. 사용자 상호작용이 필요 없으므로(UI:N), 조건이 충족되면 자동으로 악성 코드가 실행됩니다. EPSS 0.00136이라는 매우 낮은 실측값과 KEV에 등재되지 않은

• 공격 성공 시 악성 모듈이 현재 로그인된 Windows 계정 권한으로 메모리에 로드됩니다.
• 동일 계정에 대한 파일 접근·프로세스 제어가 가능해져, 추가적인 권한 상승(예: 관리자 토큰 탈취)이나 데이터 유출, 시스템 변조가 이루어질 수 있습니다.
• 범위(Scope)가 변경(C)되었으므로 영향을 받은 프로세스 외부에서도 영향이 전파될 위험이 존재합니다.

추정: 이와 유사한 “Uncontrolled Search Path Element”(CWE‑427) 유형은 DLL 프리로드 공격, 악성 라이브러리 삽입 등과 결합돼 권한 상승 체인에 활용됩니다. 또한, 로컬 파일 인젝션(CWE‑22)과 연계될 경우, 사전 탐지된 악성 파일이 자동 실행되는 시나리오가 구성될 수 있습니다.

• 로그 소스: Windows Event Log(응용 프로그램/보안), Adobe Creative Cloud Desktop 자체 로그 파일(%AppData%\Adobe\Creative Cloud\logs), Sysmon 이벤트(프로세스 생성, 이미지 로드).
• 핵심 필드·패턴
  • ProcessCreate.ImagePath에 Creative Cloud Desktop.exe가 포함된 뒤, 바로 이어서 LoadImage.Path에 비정상적인 디렉터리(%TEMP%, 사용자 지정 폴더 등)에서 DLL/EXE가 로드되는 경우.
  • Adobe 로그에 “Search path element added:” 라는 문자열이 기록되고, 뒤이어 경로가 시스템 디폴트 외부(예: C:\Users\*\AppData\Local\Temp\*)인 경우.
• SIEM 쿼리 예시 (pseudo‑SQL/LogQL):
  sql복사

   1where EventID == 4688
   2  and ParentProcessName == "Creative Cloud Desktop.exe"
   3  and ImagePath endswith ".exe"
   4  and exists (
   5      select 1 from Sysmon where EventID == 7
   6        and ProcessId = Event.ProcessId
   7        and ImageLoadedPath matches regex "^C:\\Users\\[^\\]+\\AppData\\Local\\Temp\\.*\.(dll|exe)$"
   8  )

• 정규식 (악성 경로 탐지):
  text복사

   1^C:\\Users\\[^\\]+\\AppData\\(Local|Roaming)\\Temp\\.*\.(dll|exe)$

• 오탐 튜닝: 개발 환경에서 임시 폴더에 정당한 플러그인 DLL이 로드될 수 있으므로, ImageLoadedPath가 Adobe 공식 플러그인 디렉터리(C:\Program Files\Adobe\...)와 일치하는 경우는 제외합니다. 또한, 정상적인 업데이트 과정에서 동일 경로가 사용되는 경우를 화이트리스트에 추가합니다.

• 즉시(긴급 차단): 로컬 시스템 정책(GPO) 또는 AppLocker을 이용해 Creative Cloud Desktop.exe가 검색 경로에 포함된 사용자 지정 디렉터리(%TEMP%, %APPDATA%\Adobe\*)에서 DLL/EXE를 로드하지 못하도록 차단합니다.

  • 난이도: 낮음 (그룹 정책 편집기 한 번 적용)
  • 운영 영향: 해당 경로에 존재하는 정상 플러그인 사용 불가 → 일부 기능 제한 가능성 있음
  • 검증: 차단 후 Sysmon 로그에서 LoadImage 이벤트가 차단된 경로를 시도할 때 “Access Denied”가 기록되는지 확인

• 단기(완화): Adobe Creative Cloud Desktop의 설정 파일(CCXClient.cfg) 또는 레지스트리(HKCU\Software\Adobe\Creative Cloud\SearchPath)에서 사용자 지정 검색 경로 항목을 삭제하거나, 신뢰된 폴더만 명시적으로 허용하도록 제한합니다. 동시에, 해당 디렉터리의 파일 쓰기 권한을 Administrators와 System에만 부여하고 일반 사용자 계정은 읽기 전용으로 설정합니다.

  • 난이도: 중간 (파일/레지스트리 편집 및 ACL 변경 필요)
  • 운영 영향: 사용자가 직접 플러그인 설치 시 추가 절차 요구 → 지원 티켓 증가 가능성
  • 검증: 수정 후 Adobe 로그에 “Search path element added” 메시지가 사라지는지 확인

• 근본(해결): Adobe에서 제공하는 버전 6.9.1.1 이상으로 업데이트합니다. 최신 패치는 검색 경로 검증 로직을 강화하여 외부 디렉터리 삽입을 차단합니다.

  • 난이도: 높음 (배포 계획·테스트 필요)
  • 운영 영향: 서비스 중단 시간(업데이트 적용 시 재시작) 발생 가능, 그러나 장기적으로는 완전한 위험 제거
  • 검증: 업데이트 후 동일 조건에서 악성 DLL을 배치해도 LoadImage 이벤트가 발생하지 않는지 테스트

잔여 리스크: 패치 전까지 임시 차단과 ACL 제한만으로는 공격자가 이미 존재하는 신뢰된 디렉터리에 파일을 미리 심어놓은 경우 탐지가 어려울 수 있습니다. 따라서 위의 즉시 조치를 적용한 뒤, 정기적인 파일 무결성 검증(예: Windows File Integrity Monitoring) 및 사용자 교육을 병행해야 합니다.

인시던트 대응 플레이북

1. 알림 발생 → SIEM 쿼리 결과 확인 (비정상적 LoadImage 이벤트).
2. 해당 프로세스와 로드된 파일 경로를 식별하고, 파일 해시를 VirusTotal 등으로 검증.
3. 즉시 차단 정책(AppLocker) 적용 후 로그 재검증.
4. 필요 시 악성 파일을 격리하고, 영향 받은 계정에 대해 비밀번호 변경 및 세션 종료 실시.
5. 근본 해결(패치) 일정 수립 및 배포 진행.

위 내용은 [교차검증]에서 다중 소스 일관성이 확인되었으며, EPSS 0.00136이라는 실측 악용 예측값이 낮지만 CVSS 7.8·Scope Changed·AV:L·PR:L·UI:N·AC:H의 높은 위험성을 반영해 이번 주 내 우선순위(‘scheduled’)로 지정된 근거를 바탕으로 작성되었습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00136 · exploit=hard · in_scope=None