Adobe ColdFusion 인증 우회 RCE 취약점(CVE-2026-48282) 기술 분석

서론

CVE-2026-48282는 Adobe ColdFusion 2025 및 2023 계열에서 확인된 경로 트래버설(Path Traversal, CWE-22) 취약점이다. Adobe APSB26-68 공지와 NVD 기록 기준으로 CVSS v3.1 기본 점수는 10.0 Critical이며, 네트워크에서 인증 없이 악용 가능하고 사용자 상호작용도 필요하지 않다. 영향은 ColdFusion 프로세스 권한의 임의 코드 실행으로 이어질 수 있다.

업무카드 제목의 “인증 우회 RCE” 표현은 방어 관점에서 “인증 없이 도달 가능한 RCE 위험”으로 해석하는 것이 정확하다. 공식 분류는 경로 트래버설이며, 공개 연구에서는 RDS(Remote Development Services)가 활성화되고 RDS 인증이 꺼진 구성에서 /CFIDE/main/ide.cfm의 FILEIO 기능을 통해 파일 읽기·쓰기 및 코드 실행까지 이어질 수 있다고 분석했다.

본론

1. 핵심 정보

2. 검증 결과

Adobe APSB26-68은 ColdFusion 2025 Update 9 이하와 ColdFusion 2023 Update 20 이하를 영향 버전으로 명시하고, Update 10 및 Update 21 적용을 권고한다. 해당 공지는 CVE-2026-48282를 경로 트래버설로 분류하고, 임의 코드 실행 영향과 CVSS 10.0을 부여했다.

NVD도 동일하게 ColdFusion 2025.9, 2023.20 및 이전 버전의 CWE-22 취약점으로 기록하며, “현재 사용자 컨텍스트에서 임의 코드 실행 가능”, “사용자 상호작용 불필요”, “Scope Changed”를 명시한다.

활성 악용 여부는 시간에 따라 평가가 바뀌었다. Adobe의 2026-06-30 최초 공지는 악용 사례를 인지하지 못했다고 밝혔지만, 2026-07-03 NHS England National CSOC는 보안 연구자들이 야생 악용을 관측했다고 알렸고 추가 악용 가능성을 높게 평가했다. The Hacker News도 공개 직후 C:\Windows\win.ini 읽기 시도 관측 사례를 보도했다. 따라서 2026-07-07 현재 방어 우선순위는 “실제 악용 정황이 있는 Critical RCE”로 잡아야 한다.

3. 공격 조건과 메커니즘

공식 CVSS 벡터만 놓고 보면 공격자는 인증 없이 네트워크 경유로 취약 서버를 공격할 수 있다. 공개 패치 diff 분석은 RDS 기능과 /CFIDE/main/ide.cfm?ACTION=FILEIO 경로를 핵심 관찰 지점으로 제시한다. RDS는 IDE가 ColdFusion 서버와 HTTP 기반 RPC 형태로 통신해 파일 시스템 탐색, 데이터베이스 질의, 디버깅 등을 수행하는 개발 기능이다.

공개 연구 기준의 주요 전제는 다음과 같다.

FILEIO 기능은 파일 읽기뿐 아니라 쓰기, 이름 변경, 삭제 등 파일 작업을 제공한다. 경로 검증이 충분하지 않으면 공격자는 제한 디렉터리 밖의 파일에 접근하거나 웹루트에 실행 가능한 ColdFusion 파일을 배치해 RCE로 확장할 수 있다. 공개 연구의 CVE 매핑은 일부 “추정”을 포함하므로, 방어 문서에서는 CVE-2026-48282의 공식 분류를 경로 트래버설에 의한 임의 코드 실행으로 유지하고, RDS FILEIO는 유력한 악용 경로 및 탐지 포인트로 다루는 것이 안전하다.

4. 영향 범위

최악의 경우 공격자는 ColdFusion 서비스 계정 권한으로 웹셸 배치, 애플리케이션 데이터 탈취, 설정 파일 및 자격 증명 접근, 내부망 이동의 발판 확보, 서비스 중단을 수행할 수 있다. 특히 ColdFusion 서버가 데이터베이스 접속 정보, API 키, 내부 관리망 접근 권한을 가진 경우 단일 웹 서버 침해를 넘어 업무 시스템 전체 침해로 확대될 수 있다.

5. 패치 및 완화 우선순위

Critical: 즉시 조치

High: 24시간 이내

Medium: 1주 이내

Low: 계획적 개선

6. 탐지 포인트

웹 로그와 WAF 로그에서 다음 패턴을 우선 확인한다.

POST /CFIDE/main/ide.cfm?ACTION=FILEIO
POST /CFIDE/main/ide.cfm?ACTION=BROWSEDIR
POST /CFIDE/main/ide.cfm?ACTION=DBFUNCS
POST /CFIDE/main/ide.cfm?ACTION=ADMINAPI
Content-Type: application/octet-stream
RDS 요청으로 보이는 length-prefixed body
경로 내 ../, ..\, 절대 경로, Windows 드라이브 문자, 웹루트 대상 쓰기 시도

파일 시스템에서는 다음 이벤트를 확인한다.

ColdFusion 웹루트 또는 CFIDE 하위의 신규 .cfm/.cfc/.jsp/.war 파일
최근 생성된 shell, cmd, test, upload, debug 계열 파일명
ColdFusion 서비스 계정이 생성·수정한 예기치 않은 실행 가능 파일
WEB-INF, cfusion/wwwroot, CFIDE, uploads 경로의 비정상 변경
ColdFusion 설정 파일, 데이터소스 설정, seed/config/credential 파일 접근 흔적

프로세스 및 EDR에서는 다음 행위를 의심한다.

ColdFusion Java 프로세스의 cmd.exe, powershell.exe, bash, sh, curl, wget, certutil 실행
웹 서버 프로세스 계정의 외부 연결 또는 내부 스캔
ColdFusion 서비스 계정의 권한 상승, 신규 계정 생성, 예약 작업 등록

간단한 SIEM 질의 예시는 다음과 같다. 환경별 필드명에 맞춰 조정한다.

url_path="/CFIDE/main/ide.cfm" AND (query CONTAINS "ACTION=FILEIO" OR query CONTAINS "ACTION=BROWSEDIR")

url_path CONTAINS "/CFIDE/" AND method="POST" AND content_type="application/octet-stream"

process_parent CONTAINS "coldfusion" AND process_name IN ("cmd.exe", "powershell.exe", "bash", "sh", "curl", "wget")

7. 운영 체크리스트

결론

CVE-2026-48282는 CVSS 10.0의 원격 임의 코드 실행 취약점이며, 영향 버전이 명확하고 패치도 공개되어 있다. Adobe 최초 공지 시점에는 악용 인지 없음이었으나 이후 야생 악용 관측이 보고됐으므로, 인터넷에 노출된 ColdFusion 2025 Update 9 이하 및 2023 Update 20 이하 시스템은 24시간 내 대응이 아니라 즉시 대응 대상으로 분류해야 한다.

가장 중요한 조치는 패치 적용, RDS 비활성화, /CFIDE 외부 노출 차단, 그리고 2026-06-30 이후 침해 흔적 조사다. 패치 전까지는 외부 접근 제어와 WAF/IPS 차단을 임시 완화책으로 적용하되, 취약 코드가 서버에 남아 있는 한 네트워크 완화만으로는 충분하지 않다.

참고자료

• Adobe Security Bulletin APSB26-68: https://helpx.adobe.com/security/products/coldfusion/apsb26-68.html
• NVD CVE-2026-48282: https://nvd.nist.gov/vuln/detail/CVE-2026-48282
• NHS England Digital CC-4808: https://digital.nhs.uk/cyber-alerts/2026/cc-4808
• watchTowr Labs APSB26-68 분석: https://labs.watchtowr.com/its-37oc-and-all-we-can-think-about-is-coldfusion-adobe-coldfusion-security-bulletin-apsb26-68-cve-bonanza/
• The Hacker News 보도: https://thehackernews.com/2026/07/adobe-patches-7-cvss-100-flaws-in.html

본 콘텐츠는 AI 기술로 생성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하시면 댓글을 통해 소중한 의견 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.